Web 開発再入門 #19 ― セキュリティ設定（Not Found Page 処理）
fmockup
★ 本ページは工事中 ★
はじめに
SpringBoot のデフォルトでは、誤った URL をアクセスすると、いろいろな情報を返却してしまいます。ハッカーは、これらの情報を見て、Web アプリケーションの作りを想像して、攻撃を仕掛けてきます。
よって、最低限の情報しか返却しないように修正します。
フォルダー・ファイル構成
D:\
└ Developments\
└ Workspace\
└ fmockup\
├ build\
├ sql\
├ src\
│ └ main\
│ ├ java\
│ │ └ cn\
│ │ └ com\
│ │ └ xxxx\
│ │ └ fmockup\
│ │ ├ action\
│ │ ├ controller\
│ │ ├ customizer\
│ │ │ └ ErrorIntercepter.java ← コレ
│ │ ├ entity\
│ │ ├ mapper\
│ │ ├ response\
│ │ ├ service\
│ │ ├ util\
│ │ ├ validator\
│ │ └ validator_order\
│ └ resources\
│ ├ mapper\
│ │ └ error.html ← コレ
│ ├ templates\
│ └ static\
├ vue-vite\
└ WinSW.NET-nnn\
ファイルの文字コード
基本的に Eclipse でファイルを作成するので、あまり意識したことがありません。
多分、Unix 改行（LF）なのだと思います。
ファイルの作成
- ファイル “ErrorIntercepter.java”、“error.html” を作成する。
ErrorIntercepter.java
・・・ package cn.com.xxxx.fmockup.customizer; import java.util.HashMap; import java.util.Map; import org.springframework.boot.web.servlet.error.ErrorController; import org.springframework.http.HttpStatus; import org.springframework.http.MediaType; import org.springframework.http.ResponseEntity; import org.springframework.stereotype.Controller; import org.springframework.web.bind.annotation.RequestMapping; import org.springframework.web.servlet.ModelAndView; import jakarta.servlet.RequestDispatcher; import jakarta.servlet.http.HttpServletRequest; /** * Error Interceptor * It Cuts off Some Information from Error Information. */ /* * If a URL is invalid, the Spring Boot does not become an error. * * If this is not specified. Spring boot outputs a "Not Found" page. * It gives a hint to attackers, so it is not secured... */ @Controller public class ErrorInterceptor implements ErrorController { /** * Error Interceptor (for HTML request) * It Cuts off Some Information from Error Information. */ @RequestMapping(produces = {MediaType.TEXT_HTML_VALUE}) public ModelAndView errorHtml(HttpServletRequest request, ModelAndView mav) { HttpStatus status = HttpStatus.INTERNAL_SERVER_ERROR; Object statusCode = request.getAttribute(RequestDispatcher.ERROR_STATUS_CODE); if (statusCode != null && statusCode.toString().equals("404")) { status = HttpStatus.NOT_FOUND; } mav.setStatus(status); return mav; } /** * Error Interceptor (for JSON request) * It Cuts off Some Information from Error Information. */ @RequestMapping(produces = {MediaType.APPLICATION_JSON_VALUE}) public ResponseEntity<Map<String, Object>> errorJson(HttpServletRequest req) { HttpStatus status = HttpStatus.INTERNAL_SERVER_ERROR; // No Convert // Object statusCode = req.getAttribute(RequestDispatcher.ERROR_STATUS_CODE); // if (statusCode != null && statusCode.toString().equals("404")) { // status = HttpStatus.NOT_FOUND; // } Map<String, Object> body = new HashMap<String, Object>(); body.put("status", status.value()); return new ResponseEntity<>(body, status); } }error.html<!DOCTYPE html> <html> <head> <meta charset="UTF-8"> <title>Error</title> </head> <body> Error<br> </body> </html>
参考
Not Found Page 処理