Java代码审计前置知识——SpringBoot基础

目录

前言：

(一）SpringBoot简介

1.1 回顾什么是Spring

1.2 Spring是如何简化Java开发的

1.3 什么是SpringBoot

（二）微服务

2.1 什么是微服务

2.2 单体应用架构

2.3 微服务架构

2.4 如何构建微服务

(三）第一个SpringBoot程序

3.1 准备工作

3.2 创建基础项目说明

3.3 pom.xml 分析

3.4 编写一个http接口

 3.5 将项目打成jar包

（四）运行原理初探

4.1 pom.xml

父依赖

启动器 spring-boot-starter

4.2 主启动类

默认的主启动类

4.3 SpringApplication

4.3.1  SpringApplication

4.3.1 run 方法流程分析

（五）yaml配置注入

5.1 配置文件

5.2 yaml概述

传统xml配置：

yaml配置：

5.3 yaml基础语法

5.4 注入配置文件

5.5 加载指定的配置文件

 5.6 配置文件占位符

6、JSR303数据校验及多环境切换

6.1 先看看如何使用

6.2 常见参数

6.3 多配置文件

6.4 yaml的多文档块

6.5 配置文件加载位置

(七）、自动配置原理

7.1 分析自动配置原理

7.2 总结

7.3  @Conditional

（八）、静态资源的导入

8.1 使用 webjars

8.2 静态资源映射规则

8.3 自定义静态资源路径

8.4 首页处理

8.5 自定义图标

（九）Thymeleaf 模板引擎

9.1 引入 Thymeleaf

9.2 Thymeleaf 分析

9.3 Thymeleaf 语法学习

(十）MVC 自动配置原理

10.1 官网阅读

10.2 内容协商视图解析器

10.3 转换器和格式化器

10.4 修改 SpringBoot 的默认配置

10.5 全面接管SpringMVC

参考资料：

---

前言：

        本篇文章对于概念性的内容介绍的偏多，准备明天做一个小demo把整个开发的过程像SSM一样分析一遍， 下面是我在github上找的关于SpringBoot相关漏洞，感兴趣的自取。

        由于笔者个人水平有限，行文如有不当，还请各位师傅评论指正，非常感谢KpLi0rn/SpringBootVulExploit: SpringBoot 相关漏洞学习资料，利用方法和技巧合集，黑盒安全评估 checklist

(一）SpringBoot简介

---

1.1 回顾什么是Spring

---

Spring是一个开源框架，2003 年兴起的一个轻量级的Java 开发框架，作者：Rod Johnson 。

Spring是为了解决企业级应用开发的复杂性而创建的，简化开发

1.2 Spring是如何简化Java开发的

---

为了降低Java开发的复杂性，Spring采用了以下4种关键策略：

1、基于POJO的轻量级和最小侵入性编程，所有东西都是bean；

2、通过IOC，依赖注入（DI）和面向接口实现松耦合；

3、基于切面（AOP）和惯例进行声明式编程；

4、通过切面和模版减少样式代码，RedisTemplate，xxxTemplate；

1.3 什么是SpringBoot

---

随着 Spring 不断的发展，涉及的领域越来越多，项目整合开发需要配合各种各样的文件，慢慢变得不那么易用简单，违背了最初的理念，甚至人称配置地狱。Spring Boot 正是在这样的一个背景下被抽象出来的开发框架，目的为了让大家更容易的使用 Spring 、更容易的集成各种常用的中间件、开源软件；

Spring Boot 基于 Spring 开发，Spirng Boot 本身并不提供 Spring 框架的核心特性以及扩展功能，只是用于快速、敏捷地开发新一代基于 Spring 框架的应用程序。也就是说，它并不是用来替代 Spring 的解决方案，而是和 Spring 框架紧密结合用于提升 Spring 开发者体验的工具。Spring Boot 以约定大于配置的核心思想，默认帮我们进行了很多设置，多数 Spring Boot 应用只需要很少的 Spring 配置。

简单来说就是SpringBoot其实不是什么新的框架，它默认配置了很多框架的使用方式，就像maven整合了所有的jar包，spring boot整合了所有的框架 。

Spring Boot的主要优点：

• 为所有Spring开发者更快的入门
• 开箱即用，提供各种默认配置来简化项目配置
• 内嵌式容器简化Web项目
• 没有冗余代码生成和XML配置的要求

（二）微服务

---

2.1 什么是微服务

---

微服务是一种架构风格，它要求我们在开发一个应用的时候，这个应用必须构建成一系列小服务的组合；可以通过http的方式进行互通。要说微服务架构，先得说说过去我们的单体应用架构。

2.2 单体应用架构

---

所谓单体应用架构是指，我们讲一个应用中的所有应用服务都封装在一个应用中，无论是ERP，CRM或是其他什么系统，你都把数据库访问，web访问，等等各个功能放在一个war包中。

• 这样做的好处是易于开发和测试；十分方便部署；当需要扩展时，只需要将war包复制多份，然后放在多个服务器上，在做个负载均衡就可以了
• 单体应用架构的缺点，哪怕我要修改一个非常小的地方，我都需要停掉整个服务，重新打包，部署这个war包。特别是对于一个大型应用，我们不可能吧所有内容都放在一个应用里面，我们如何维护如何分工合作都是一个问题

2.3 微服务架构

---

单体应用的架构方式，我们把所有的功能单元放在一个应用里面，然后我们把整个应用放在服务器上。如果负载能力不行，我们将整个应用进行水平复制，进行扩展，然后再负载均衡。
所谓微服务架构就是打破之前单体应用的架构方式，把每个功能元素独立出来，把独立出来的功能元素动态组合，需要的功能元素才拿来组合，需要多一些的时候就整合多个功能元素。所以微服务架构是对功能元素进行复制，而没有对整个应用进行复制。

这样做的好处：

1. 节省了调用资源
2. 每个功能元素都是可替换的，可独立升级的软件代码

2.4 如何构建微服务

---

一个大型系统的微服务架构就像一个复杂的神经网络，每一个神经元都是一个功能元素，他们各自完成各自的功能，然后通过http相互请求调用。比如一个电商系统，查缓存，连数据库，浏览页面，结账，支付，等服务都是一个个独立的功能服务，都被微化了，他们作为一个个微服务共同构造了一个庞大的系统。如果修改一个功能，只需要更新升级其中一个功能服务单元即可.

但这种庞大的系统架构给部署和运维带来了强大的压力，于是，spring为我们带来了构建大型分布式微服务的全套，全程产品。

• 构建一个功能独立的微服务应用单元，可以使用springboot，可以帮我们快速构建一个应用
• 大型分布式网络服务的调用，这部分由springboot来完成，实现分布式
• 在分布式中间进行流式数据计算，批处理，我们有spring cloud data flow
• spring为我们想清楚了从开始构建应用到大型分布式应用的全流程方案

(三）第一个SpringBoot程序

---

3.1 准备工作

---

我们将学习如何快速的创建一个Spring Boot应用，并且实现一个简单的Http请求处理。通过这个例子对Spring Boot有一个初步的了解，并体验其结构简单、开发快速的特性。

我的环境准备：

• jdk 1.8
• Maven-3.6.1
• SpringBoot 2.x 最新版

开发工具：

• IDEA2021 

3.2 创建基础项目说明

---

Spring官方提供了非常方便的工具让我们快速构建应用

Spring Initializr：https://start.spring.io/

项目创建方式一：在官网使用Spring Initializr 的 Web页面创建项目

1. 打开 https://start.spring.io/
2. 填写项目信息
3. 点击”Generate Project“按钮生成项目；下载此项目
4. 解压项目包，并用IDEA以Maven项目导入，一路下一步即可，直到项目导入完毕。
5. 如果是第一次使用，可能速度会比较慢，包比较多、需要耐心等待一切就绪。

项目创建方式二：使用 IDEA 直接创建项目

1. 创建一个新项目
2. 选择spring initalizr ， 可以看到默认就是去官网的快速构建工具那里实现
3. 填写项目信息
4. 选择初始化的组件（初学勾选 Web 即可）
5. 填写项目路径
6. 等待项目构建成功

3.3 pom.xml 分析

---

打开pom.xml，看看Spring Boot项目的依赖：

    4.0.0
    
        org.springframework.boot
        spring-boot-starter-parent
        2.6.5
         
    
    com.example
    SpringBoot
    0.0.1-SNAPSHOT
    SpringBoot
    SpringBoot
    
        1.8
    
    
        
        
        
            org.springframework.boot
            spring-boot-starter-web
        
 
        
        
            org.springframework.boot
            spring-boot-starter-test
            test
        
    
 
    
                    
            
            
                org.springframework.boot
                spring-boot-maven-plugin
            
        
    
 

如上所示，主要有四个部分：

• 项目元数据：创建时候输入的Project Metadata部分，也就是Maven项目的基本元素，包括：groupId、artifactId、version、name、description等
• parent：继承spring-boot-starter-parent的依赖管理，控制版本与打包等内容
• dependencies：项目具体依赖，这里包含了spring-boot-starter-web用于实现HTTP接口（该依赖中包含了Spring MVC），官网对它的描述是：使用Spring MVC构建Web（包括RESTful）应用程序的入门者，使用Tomcat作为默认嵌入式容器。spring-boot-starter-test用于编写单元测试的依赖包。更多功能模块的使用将在后面逐步展开。
• build：构建配置部分。默认使用了spring-boot-maven-plugin，配合spring-boot-starter-parent就可以把Spring Boot应用打包成JAR来直接运行

3.4 编写一个http接口

---

1、在主程序的同级目录下，新建一个controller包，一定要在同级目录下，否则识别不到

2、在包中新建一个HelloController类

package com.springmvc.xiaowei.controller;

import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RestController;

@RestController
public class HelloController {

    // 接口： http://localhost:8080/hello
    @RequestMapping("/hello")
    public String hello(){
        // 调用业务，接收前端的参数！
        return "hello,world";
    }
}

3、编写完毕后，从主程序启动项目，浏览器发起请求，看页面返回；控制台输出了 Tomcat 访问的端口号！

 简单几步，就完成了一个web接口的开发，SpringBoot就是这么简单。所以我们常用它来建立我们的微服务项目!(虽然说这样很简单，但是我建议初学者先从spring学起，这样才会对开发的整个流程理解的更加深入，谁都不想只做脚本小子）

 3.5 将项目打成jar包

---

1、点击 maven的 package

 2、假如打包不成功，测试用例报错

    org.apache.maven.plugins
    maven-surefire-plugin
    
        
        true
    

3、如果打包成功，则会在target目录下生成一个 jar 包

 4、打成了jar包后，就可以在任何地方运行，成功实现前后端分离

java -jar SpringBoot-0.0.1-SNAPSHOT.jar

（四）运行原理初探

---

我们之前写的HelloSpringBoot，到底是怎么运行的呢，Maven项目，我们一般从pom.xml文件探究起；

4.1 pom.xml

---

父依赖

其中它主要是依赖一个父项目，主要是管理项目的资源过滤及插件。

    org.springframework.boot
    spring-boot-starter-parent
    2.2.5.RELEASE
     

点进去，发现还有一个父依赖

    org.springframework.boot
    spring-boot-dependencies
    2.2.5.RELEASE
    ../../spring-boot-dependencies

这里才是真正管理SpringBoot应用里面所有依赖版本的地方，SpringBoot的版本控制中心；

以后我们导入依赖默认是不需要写版本；但是如果导入的包没有在依赖中管理着就需要手动配置版本了；

启动器 spring-boot-starter

    org.springframework.boot
    spring-boot-starter-web

• springboot-boot-starter-xxx：就是spring-boot的场景启动器
• spring-boot-starter-web：帮我们导入了web模块正常运行所依赖的组件；

SpringBoot将所有的功能场景都抽取出来，做成一个个的starter （启动器），只需要在项目中引入这些starter即可，所有相关的依赖都会导入进来 ， 我们要用什么功能就导入什么样的场景启动器即可 ；我们未来也可以自己自定义 starter；

4.2 主启动类

---

默认的主启动类

// @SpringBootApplication 来标注一个主程序类
// 说明这是一个Spring Boot应用
@SpringBootApplication
public class SpringbootApplication {
 
   public static void main(String[] args) {
     //以为是启动了一个方法，没想到启动了一个服务
      SpringApplication.run(SpringbootApplication.class, args);
   }
 
}

但是一个简单的启动类并不简单！我们来分析一下这些注解都干了什么

接下来一大段没听懂的注解加载配置…

 结论：SpringBoot 所有自动配置都是在启动的时候扫描并加载：spring.factories 所有的自动配置类都在这里面，但是不一定生效，要判断条件是否成立，只要导入了对应的 start，就有对应的启动器了，有了启动器，我们自动装配就会生效，然后就配置成功.

1. SpringBoot在启动的时候从类路径下的META-INF/spring.factores中获取EnableAutoConfiguration指定的值；
2. 将这些值作为自动配置类导入容器 ， 自动配置类就生效 ， 帮我们进行自动配置工作；
3. 整个J2EE的整体解决方案和自动配置都在springboot-autoconfigure的jar包中；
4. 它会给容器中导入非常多的自动配置类 （xxxAutoConfiguration）, 就是给容器中导入这个场景需要的所有组件 ， 并配置好这些组件 ；
5. 有了自动配置类 ， 免去了我们手动编写配置注入功能组件等的工作；

4.3 SpringApplication

---

@SpringBootApplication
public class Springboot01HellowordApplication {
 
    public static void main(String[] args) {
           //该方法返回一个ConfigurableApplicationContext对象
         //参数一：应用入口的类； 参数二：命令行参数  
        SpringApplication.run(Springboot01HellowordApplication.class, args);
    }
}

SpringApplication.run分析

• 分析该方法主要分两部分
• 一是SpringApplication的实例化，
• 二是run方法的执行；

4.3.1  SpringApplication

---

这个类主要做了以下四件事情：

1. 推断应用的类型是普通的项目还是Web项目
2. 查找并加载所有可用初始化器 ， 设置到initializers属性中
3. 找出所有的应用程序监听器，设置到listeners属性中
4. 推断并设置main方法的定义类，找到运行的主类

查看构造器：

public SpringApplication(ResourceLoader resourceLoader, Class... primarySources) {
    // ......
    this.webApplicationType = WebApplicationType.deduceFromClasspath();
    this.setInitializers(this.getSpringFactoriesInstances();
    this.setListeners(this.getSpringFactoriesInstances(ApplicationListener.class));
    this.mainApplicationClass = this.deduceMainApplicationClass();
}

4.3.1 run 方法流程分析

---

（五）yaml配置注入

---

5.1 配置文件

---

SpringBoot使用一个全局的配置文件 ， 配置文件名称是固定的

• application.properties
• 语法结构 ：key=value
• application.yml
• 语法结构 ：key：空格 value

配置文件的作用 ：修改SpringBoot自动配置的默认值，因为SpringBoot在底层都给我们自动配置好了；

比如我们可以在配置文件中修改Tomcat 默认启动的端口号！测试一下：

server.port=8081

5.2 yaml概述

---

YAML是 “YAML Ain’t a Markup Language” （YAML不是一种标记语言）的递归缩写。在开发的这种语言时，YAML 的意思其实是：”Yet Another Markup Language”（仍是一种标记语言）

这种语言以数据作为中心，而不是以标记语言为重点！

以前的配置文件，大多数都是使用xml来配置；比如一个简单的端口配置，我们来对比下yaml和xml

传统xml配置：

    8081

yaml配置：

server:
  prot: 8080

5.3 yaml基础语法

---

说明：语法要求严格

1. 空格不能省略
2. 以缩进来控制层级关系，只要是左边对齐的一列数据都是同一个层级的
3. 属性和值的大小写都是十分敏感的

字面量：普通的值 [ 数字，布尔值，字符串 ]

字面量直接写在后面就可以 ， 字符串默认不用加上双引号或者单引号；

k: v

注意：

• “ ” 双引号，不会转义字符串里面的特殊字符 ， 特殊字符会作为本身想表示的意思； 比如 ：name: "jinyou \n xin" 输出 ：jinyou 换行 xin
• '' 单引号，会转义特殊字符 ， 特殊字符最终会变成和普通字符一样输出 比如 ：name: ‘jinyou \n xin’ 输出 ：jinyou \n xin

对象、Map（键值对）

#对象、Map格式
k: 
    v1:
    v2:

在下一行来写对象的属性和值得关系，注意缩进(可以类比python)；比如：

student:
    name: jinyouxin
    age: 3

行内写法

student: {name: qinjiang,age: 3}

数组（ List、set ）

用 - 值表示数组中的一个元素,比如：

pets:
 - cat
 - dog
 - pig

行内写法

pets: [cat,dog,pig]

修改SpringBoot的默认端口号

配置文件中添加，端口号的参数，就可以切换端口；

server:
  port: 8082

yaml文件更强大的地方在于，他可以给我们的实体类直接注入匹配值。

5.4 注入配置文件

---

1. 在springboot项目中的resources目录下新建一个文件 application.yaml
2. 编写一个实体类 Dog；

package com.example.pojo;
 
@Data
@AllArgsConstructor
@NoArgsConstructor
@Component    //注册bean到容器中
public class Dog {
    private String name;
    private Integer age;
}

• 3、思考一下，我们原来是如何给bean注入属性值的！@Value，给狗类狗测试一下：

@Data
@AllArgsConstructor
@NoArgsConstructor
@Component
public class Dog {
    @Value("旺财")
    private String name;
    @Value("3")
    private Integer age;
}

• 4、在SpringBoot的测试类下注入狗狗输出一下；

@SpringBootTest
class DemoApplicationTests {
 
    @Autowired //将狗狗自动注入进来
    Dog dog;
 
    @Test
    public void contextLoads() {
        System.out.println(dog); //打印看下狗狗对象
    }
 
}

结果成功输出，@Value注入成功，这是我们原来的办法

•  5、我们在编写一个复杂一点的实体类：Person 类

package com.example.pojo;
 
 
@Data
@AllArgsConstructor
@NoArgsConstructor
@Component  // 注册bean
public class Person {
 
    private String name;
    private Integer age;
    private Boolean happy;
    private Date birth;
    private Map maps;
    private List