問題の事象

StrutsではDOS攻撃対策として要素数が256件を超えるCollection型の項目をPOSTするとエラーが発生する。

HelloAction.java

public class HelloAction extends ActionSupport {
    private List<String> addresses;

    public List<String> getAddresses() {
        return this.addresses;
    }

    public setAddresses(List<String> addresses) {
        this.addresses = addresses;
    }

    public String execute() {
        if (this.addresses.isEmpty()) {
            for (int i = 0; i < 300; i++) {
                this.addresses.add("Address" + i);
            }
        }
        return SUCCESS;
    }
}

hello.jsp（抜粋）

<s:form action="hello" method="post">
    Address:<br/>
    <s:iterator value="addresses" status="status">
        <s:textfield name="addresses[%{#status.count - 1}]"/><br/>
    </s:iterator>
    <s:submit type="input" />
</s:form>

submitすると256個以降がエラーになる

このチェックはcom.opensymphony.xwork2.ognl.accessor.XWorkListPropertyAccessorクラスで行われている。

XWorkListPropertyAccessor.java（抜粋）

if (target instanceof List && name instanceof Number) {
   List list = (List)target;
   int listSize = list.size();
   count = ((Number)name).intValue();
   if (count > this.autoGrowCollectionLimit) {
      throw new OgnlException("Error auto growing collection size to " + count + " which limited to " + this.autoGrowCollectionLimit);
   }

   if (count >= listSize) {
      for(i = listSize; i <= count; ++i) {
         list.add((Object)null);
      }
   }
}

対策

考えられる対策方法を以下に記す

定数struts.ognl.autoGrowthCollectionLimitを変更する
Type Conversionを使う
Mapに変更する
XWorkListPropertyAccessorの代わりにListPropertyAccessorを使用する

定数struts.ognl.autoGrowthCollectionLimitを変更する

公式HPに記載されているとおりCollectionの自動拡張の上限を変更する。一番簡単な方法と思うが、Listを使っている箇所すべてで制限が緩くなるのが欠点だと思う。

struts.xml

<constant name="struts.ognl.autoGrowthCollectionLimit" value="1024"/>

Type Conversionを使う

Type Conversionを使えば特定の項目のみに限定して制限をなくすことができる。XWorkListPropertyAccessorクラスはType Conversionを使用した場合には上限を適用しないことを利用する。
List<String>のように要素が書き込み不可の場合は適用できない。

Address.java

// Listに格納するJavaBean
public class Address {
	private String id;
	private String address;

	public String getId() {
		return id;
	}

	public void setId(String id) {
		this.id = id;
	}

	public String getAddress() {
		return address;
	}

	public void setAddress(String address) {
		this.address = address;
	}
}

HelloAction.java

package org.demo;

public class HelloAction extends ActionSupport {
    private List<Address> addresses;

    public List<Address> getAddresses() {
        return this.addresses;
    }

    public setAddresses(List<Address> addresses) {
        this.addresses = addresses;
    }

    public String execute() {
        // 初期表示時に要素を300個にする
        if (this.addresses.isEmpty()) {
            for (int i = 0; i < 300; i++) {
                Address address = new Address();
                address.setId("id" + i);    // jspで丸括弧を使う書き方をする場合は必要
                this.addresses.add(address);
            }
        }
        return SUCCESS;
    }
}

hello.jsp（抜粋）

<s:form action="hello" method="post">
    Address:<br/>
    <s:iterator value="addresses" status="status">
        <s:textfield name="addresses[%{#status.count - 1}].address"/><br/>
        <!-- ↓丸括弧を使う書き方も可能 -->
        <!-- <s:textfield name="addresses(%{'\\'id' + (#status.count - 1) + '\\''}).address"/><br/> -->
    </s:iterator>
    <s:submit type="input" />
</s:form>

以下はHelloAction.javaと同じフォルダに置くか、src/main/resources配下にHelloActionと同じパッケージ階層のフォルダを作成して配置する。

HelloAction-conversion.properties

KeyProperty_addresses=x　 ←デタラメでよい。丸括弧を使う書き方の場合はidのようなキーにする項目を指定する
Element_addresses=org.demo.Address
CreateIfNull_addresses=true

以下のような画面となり、submitしてもエラーはならない。

Mapに変更する

Collectionと違ってMapには上限が適用されないためMapにすることで解決する。
Stringでも使用できる。

HelloAction.java

package org.demo;

public class HelloAction extends ActionSupport {
    private Map<Integer, String> addresses;

    public Map<Integer, String> getAddresses() {
        return this.addresses;
    }

    public setAddresses(Map<Integer, String> addresses) {
        this.addresses = addresses;
    }

    public String execute() {
        // 初期表示時に要素を300個にする
        if (this.addresses.isEmpty()) {
            for (int i = 0; i < 300; i++) {
                this.addresses.put(i, "");
            }
        }
        return SUCCESS;
    }
}

hello.jsp（抜粋）

<s:form action="hello" method="post">
    Address:<br/>
    <s:iterator value="addresses" status="status">
        <s:textfield name="addresses[%{#status.count - 1}]"/><br/>
    </s:iterator>
    <s:submit type="input" />
</s:form>

XWorkListPropertyAccessorの代わりにListPropertyAccessorを使用する

大げさかもしれないがOGNLが使用するAccessorを変更することで上限を適用しないようにする。
ArrayListを継承したカスタムリストを作成

MyList.java

package org.demo;

import java.util.ArrayList;

public class MyList<T> extends ArrayList<T> {
}

カスタムリストに対しては上限チェックを行わないAccessorを使用する

struts.xml（抜粋）

<bean type="ognl.PropertyAccessor" name="org.demo.converter.MyList"
          class="ognl.ListPropertyAccessor"/>

HelloAction.java

package org.demo;

public class HelloAction extends ActionSupport {
    private MyList<String> addresses = new MyList<>();

    public MyList<String> getAddresses() {
        return this.addresses;
    }

    public void setAddresses(MyList<String> addresses) {
        this.addresses = addresses;
    }

    public HelloAction() {
        // 自動的にリストを拡張してくれないのでコンストラクタで300個にする
        for (int i = 0; i < 300; i++) {
            this.addresses.add("");
        }
    }

    public String execute() {
        return SUCCESS;
    }
}

hello.jsp（抜粋）

<s:form action="hello" method="post">
    Address:<br/>
    <s:iterator value="addresses" status="status">
        <s:textfield name="addresses[%{#status.count - 1}]"/><br/>
    </s:iterator>
    <s:submit type="input" />
</s:form>

リストを自動的に拡張してくれないのがいまいちだ。