java如何不让直接请求url

Java中不让直接请求URL的方法有：使用过滤器、使用拦截器、验证Referer、使用Token验证。 其中，使用过滤器是一种常见且高效的方法。通过在服务器端添加过滤器，可以在请求到达具体的Servlet或JSP页面之前对其进行预处理，从而达到控制访问的目的。具体实现步骤包括编写过滤器类、在web.xml中配置过滤器等。以下详细介绍这种方法及其他常见方法。

一、使用过滤器

过滤器（Filter）是Java Web应用中用于拦截和处理请求的组件。它可以在请求到达Servlet或JSP之前、之后进行操作，因此非常适合用于控制直接URL请求。

1. 编写过滤器类

首先，我们需要编写一个过滤器类，实现javax.servlet.Filter接口。该接口包含三个方法：init、doFilter和destroy。

import javax.servlet.*;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
public class URLFilter implements Filter {
    public void init(FilterConfig filterConfig) throws ServletException {
        // 初始化操作
    }
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
        HttpServletRequest httpRequest = (HttpServletRequest) request;
        HttpServletResponse httpResponse = (HttpServletResponse) response;
        // 获取请求的URL
        String url = httpRequest.getRequestURL().toString();
        // 判断是否为直接请求的URL（这里可以自定义判断逻辑）
        if (url.contains("restrictedPage.jsp")) {
            // 处理直接请求，重定向到错误页面或登录页面
            httpResponse.sendRedirect("errorPage.jsp");
            return;
        }
        // 继续执行下一个过滤器或目标资源
        chain.doFilter(request, response);
    }
    public void destroy() {
        // 销毁操作
    }
}

2. 配置过滤器

在web.xml中配置过滤器，将其应用于需要保护的URL模式。

<filter>
    <filter-name>URLFilter</filter-name>
    <filter-class>com.example.URLFilter</filter-class>
</filter>
<filter-mapping>
    <filter-name>URLFilter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

通过上述配置，当用户请求匹配/*模式的URL时，URLFilter将会被执行，从而对请求进行拦截和处理。

二、使用拦截器

拦截器（Interceptor）是Spring MVC框架中用于拦截和处理请求的组件，功能类似于过滤器，但更为灵活和强大。拦截器可以在请求处理的不同阶段进行干预，如请求前、请求后、视图渲染前等。

1. 编写拦截器类

首先，我们需要编写一个拦截器类，实现HandlerInterceptor接口。该接口包含三个方法：preHandle、postHandle和afterCompletion。

import org.springframework.web.servlet.HandlerInterceptor;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
public class URLInterceptor implements HandlerInterceptor {
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        // 获取请求的URL
        String url = request.getRequestURL().toString();
        // 判断是否为直接请求的URL（这里可以自定义判断逻辑）
        if (url.contains("restrictedPage.jsp")) {
            // 处理直接请求，重定向到错误页面或登录页面
            response.sendRedirect("errorPage.jsp");
            return false;
        }
        // 继续执行请求
        return true;
    }
    @Override
    public void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler, ModelAndView modelAndView) throws Exception {
        // 请求处理后操作
    }
    @Override
    public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) throws Exception {
        // 请求完成后操作
    }
}

2. 配置拦截器

在Spring MVC配置文件中配置拦截器，将其应用于需要保护的URL模式。

<mvc:interceptors>
    <mvc:interceptor>
        <mvc:mapping path="/"/>
        <bean class="com.example.URLInterceptor"/>
    </mvc:interceptor>
</mvc:interceptors>

通过上述配置，当用户请求匹配/模式的URL时，URLInterceptor将会被执行，从而对请求进行拦截和处理。

三、验证Referer

Referer头部信息用于标识请求来源，通过验证Referer可以判断请求是否来自合法页面，从而防止直接请求URL。

1. 获取Referer头部信息

在Servlet或过滤器中获取Referer头部信息，并进行验证。

public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
    HttpServletRequest httpRequest = (HttpServletRequest) request;
    HttpServletResponse httpResponse = (HttpServletResponse) response;
    // 获取Referer头部信息
    String referer = httpRequest.getHeader("Referer");
    // 判断Referer是否为空或是否来自合法页面（这里可以自定义判断逻辑）
    if (referer == null || !referer.contains("legitimatePage.jsp")) {
        // 处理非法请求，重定向到错误页面或登录页面
        httpResponse.sendRedirect("errorPage.jsp");
        return;
    }
    // 继续执行下一个过滤器或目标资源
    chain.doFilter(request, response);
}

通过上述代码，可以有效防止用户直接请求特定URL。

四、使用Token验证

Token验证是一种常见的安全机制，通过为每个请求生成唯一的Token，并在服务器端进行验证，可以防止直接请求URL。

1. 生成Token

在用户请求合法页面时，生成唯一的Token并存储在会话中，同时将Token作为隐藏字段添加到表单中。

// 生成Token
String token = UUID.randomUUID().toString();
request.getSession().setAttribute("token", token);
// 将Token添加到表单中
out.print("<input type='hidden' name='token' value='" + token + "'>");

2. 验证Token

在处理请求时，获取表单中的Token并与会话中的Token进行比较，如果匹配则允许请求，否则拒绝请求。

public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
    HttpServletRequest httpRequest = (HttpServletRequest) request;
    HttpServletResponse httpResponse = (HttpServletResponse) response;
    // 获取表单中的Token
    String formToken = httpRequest.getParameter("token");
    // 获取会话中的Token
    HttpSession session = httpRequest.getSession();
    String sessionToken = (String) session.getAttribute("token");
    // 判断Token是否匹配
    if (formToken == null || !formToken.equals(sessionToken)) {
        // 处理非法请求，重定向到错误页面或登录页面
        httpResponse.sendRedirect("errorPage.jsp");
        return;
    }
    // 继续执行下一个过滤器或目标资源
    chain.doFilter(request, response);
}

通过上述代码，可以有效防止用户直接请求特定URL，并确保请求的合法性。

总结

通过以上介绍的使用过滤器、使用拦截器、验证Referer、使用Token验证四种方法，可以有效防止用户直接请求特定URL，从而提高Web应用的安全性。每种方法都有其优缺点，可以根据具体需求选择合适的方法进行实现。

使用过滤器：适用于Java Web应用，通过预处理请求进行控制，配置简单。
使用拦截器：适用于Spring MVC框架，功能强大且灵活，适合复杂的请求处理逻辑。
验证Referer：通过验证请求来源进行控制，简单易用，但存在Referer伪造的风险。
使用Token验证：通过唯一Token进行验证，安全性较高，但需要额外的Token管理和验证逻辑。

在实际应用中，可以结合多种方法，提高系统的安全性和可靠性。