1.浅谈URI中的源码任意文件
2.activiti在线设计-Activiti6.0中如何设计和关联表单？
3.SpringCloud 微服务接口调用组件 - OpenFeign 简介

浅谈URI中的任意文件

       文件下载业务中，URI的源码正确处理是关键。通常，源码接口形式如//download?源码fileName=xxx.png，若未过滤目录穿越符号如...或未限制下载路径，源码传入参数如../../etc/passwd即可实现路径穿越，源码古龙梦幻源码下载任意文件。源码解析URI以得到文件名，源码如/file/test.jpg，源码尝试访问/file/../../test.jpg时，源码中间件或框架在解析路由时会有所处理。源码那么，源码能否通过此途径进行目录穿越并利用呢？

       在实际项目中，源码下雨源码一个文件下载的源码实现使用了Spring框架的FileCopyUtils.copy()方法。文件路径filepath通过req.getRequestURI()获取，源码此方法不规范URI中的特殊字符，直接拼接路径并读取文件，未限制下载目录且未过滤敏感关键字，存在任意文件下载风险。

       当前项目的upload目录结构如下：

       访问../WEB-INF/web.xml，成功穿越到上级目录WebContent，并获取web.xml配置信息。中间件处理../，使其等同于直接访问/userfiles/WEB-INF/web.xml。若尝试读取更敏感文件如/etc/passwd，vueresource源码需要多级../，但tomcat处理后已不在有效目录范围内，返回异常。尝试扩大漏洞危害，编码请求触发 Invalid URI错误，tomcat对保留字符;进行截断并处理为参数。在编码基础上再次访问，获取路径为/upload/;/../../../../../../../../etc/passwd，返回状态码。

       结合网站其他业务，可以创建名为;的目录，访问/userfiles/upload/;%2f..%2f..%2f..%2f..%2f..%2f..%2f..%2f..%2fetc%2fpasswd，tinyhttpd源码成功下载敏感文件。

       引入@PathVariable注解，用于接收请求路径中的占位符值，可以实现文件下载，如访问/var/work/download/{ filename}，下载名为{ filename}的文件。参数在URI中，利用还需探究。

       通常，直接使用../../../目录穿越尝试下载/etc/passwd等敏感文件，中间件解析时已处理../，参数filename无法利用。闲聊源码处理后URI为/file/etc/passwd，未找到映射，返回。

       尝试对/编码访问，tomcat源码检测到%2F斜杠返回状态码。源码流程包括解码和格式化URI。Spring对URI进行一次解码，如/file/get/..%fetc/passwd变为/file/get%2fetc/passwd。

       在前端用JS对URL编码，忽略Spring的解码操作。使用双重URL编码处理../请求，绕过中间件和Spring的URLDecode，实现目录穿越，成功下载内容。

       集成Shiro框架时，案例一中的;可能需要编码为%3b。Shiro高版本对编码进行处理，继续利用需深思。

activiti在线设计-Activiti6.0中如何设计和关联表单？

       activiti6的流程编辑器怎么整合进自己的项目中

       å»ºè®®ä½ å¯ä»¥çœ‹ä¸€ä¸‹å’–啡兔的相关技术博文:

       ç½‘页链接

       ,

       activiti6和activiti5整合方式一致

       1.为什么要整合

       Activiti5.版本把原本独立的ActivitiModeler模块整合到了ActivitiExplorer中,两者相结合使用起来很方便,通过Modeler设计的流程模型可以直接部署到引擎,也可以把已经部署的流程转换为Model从而在Modeler中编辑。

       åœ¨å®žé™…应用中也有这样的需求,把Modeler整合到业务系统中可以供管理员使用,或者作为BPM平台的一部分存在,很遗憾官方没有给出如何整合Modeler的文档。

       2.整合工作

       2.1下载源码

       é¦–先需要从Github下载源码:

       2.2复制文件

       å¤åˆ¶çš„所有文件均在activiti-webapp-explorer2目录中。

       src/main/resources中的、、到项目源码的源码根目录,保证编译之后在classes根目录

       src/main/webapp中的api、editor、explorer、libs到项目的webapp目录(与WEB-INF目录同级)

       2.3添加依赖

       <dependency>__<groupid></groupid>__<artifactid>activiti-explorer</artifactid>__<version>5.</version>__<exclusions>____<exclusion>______<artifactid>vaadin</artifactid>______<groupid></groupid>____</exclusion>____<exclusion>______<artifactid>dcharts-widget</artifactid>______<groupid></groupid>____</exclusion>____<exclusion>______<artifactid>activiti-simple-workflow</artifactid>______<groupid></groupid>____</exclusion>__</exclusions></dependency><dependency>__<groupid></groupid>__<artifactid>activiti-modeler</artifactid>__<version>5.</version></dependency>

       2.4添加Javaç±»

       æ·»åŠ ä¸€ä¸ªç±»ä¿å­˜åˆ°é¡¹ç›®ä¸­,注册了一些REST路由。

       package;

       import;import;import;import;import;import;

       publicclassExplorerRestApplicationextendsActivitiRestApplication{

       publicExplorerRestApplication(){ __super();_}_/**_*CreatesarootRestletthatwillreceiveallincomingcalls._*/_@Override_publicsynchronizedRestletcreateInboundRoot(){ __Routerrouter=newRouter(getContext());__();__(router);__(router);__JsonpFilterjsonpFilter=newJsonpFilter(getContext());__(router);__returnjsonpFilter;_}

       }

       2.5配置

       åœ¨æ–‡ä»¶ä¸­æ·»åŠ å¦‚下配置:

       <!--Restletadapter,usedtoexposemodelerfunctionalitythroughREST--><servlet>__<servlet-name>RestletServlet</servlet-name>__<servlet-class></servlet-class>__<init-param>____<!--Applicationclassname-->____<param-name></param-name>____<param-value></param-value>__</init-param></servlet>

       <!--Catchallservicerequests--><servlet-mapping>__<servlet-name>RestletServlet</servlet-name>__<url-pattern>/service/*</url-pattern></servlet-mapping>

       2.6控制器

       ä½¿ç”¨SpringMVC做了一个简单的封装,也可以使用其他的MVC实现。

       package;

       import;import;

       import;import;

       import;import;import;import;import;import;import;import;import;import;import;import;import;import;import;import;import;import;import;import;import;

       /***流程模型控制器**@authorhenryyan*/@Controller@RequestMapping(value="/workflow/model")publicclassModelController{

       protectedLoggerlogger=(getClass());

       @Autowired_RepositoryServicerepositoryService;

       /**_*模型列表_*/_@RequestMapping(value="list")_publicModelAndViewmodelList(){ __ModelAndViewmav=newModelAndView("workflow/model-list");__List<model>list=().list();__("list",list);__returnmav;_}

       /**_*创建模型_*/_@RequestMapping(value="create")_publicvoidcreate(@RequestParam("name")Stringname,@RequestParam("key")Stringkey,@RequestParam("description")Stringdescription,_____HttpServletRequestrequest,HttpServletResponseresponse){ __try{ ___ObjectMapperobjectMapper=newObjectMapper();___ObjectNodeeditorNode=();___("id","canvas");___("resourceId","canvas");___ObjectNodestencilSetNode=();___("namespace","#");___("stencilset",stencilSetNode);___ModelmodelData=();

       ObjectNodemodelObjectNode=();___(_NAME,name);___(_REVISION,1);___description=(description);___(_DESCRIPTION,description);___(());___(name);___((key));

       (modelData);___((),().getBytes("utf-8"));

       (()+"/service/editor?id="+());__}catch(Exceptione){ ___("创建模型失败:",e);__}_}

       /**_*根据Model部署流程_*/_@RequestMapping(value="deploy/{ modelId}")_publicStringdeploy(@PathVariable("modelId")StringmodelId,RedirectAttributesredirectAttributes){ __try{ ___ModelmodelData=(modelId);___ObjectNodemodelNode=(ObjectNode)newObjectMapper().readTree((()));___byte[]bpmnBytes=null;

       BpmnModelmodel=newBpmnJsonConverter().convertToBpmnModel(modelNode);___bpmnBytes=newBpmnXMLConverter().convertToXML(model);

       StringprocessName=()+".";___Deploymentdeployment=().name(()).addString(processName,newString(bpmnBytes)).deploy();___("message","部署成功,部署ID="+());__}catch(Exceptione){ ___("根据模型部署流程失败:modelId={ }",modelId,e);__}__return"redirect:/workflow/model/list";_}

       /**_*导出model的xml文件_*/_@RequestMapping(value="export/{ modelId}")_publicvoidexport(@PathVariable("modelId")StringmodelId,HttpServletResponseresponse){ __try{ ___ModelmodelData=(modelId);___BpmnJsonConverterjsonConverter=newBpmnJsonConverter();___JsonNodeeditorNode=newObjectMapper().readTree((()));___BpmnModelbpmnModel=(editorNode);___BpmnXMLConverterxmlConverter=newBpmnXMLConverter();___byte[]bpmnBytes=(bpmnModel);

       ByteArrayInputStreamin=newByteArrayInputStream(bpmnBytes);___(in,());___Stringfilename=().getId()+".";___("Content-Disposition","attachment;filename="+filename);___();__}catch(Exceptione){ ___("导出model的xml文件失败:modelId={ }",modelId,e);__}_}

       }</pre>

       ###2.7注意事项

       å¦‚果使用Spring代理引擎,并且在项目中同时有文件(不管在main/resources还是test/resources目录),在里面的引擎中添加下面的配置参数,否则会导致打开Modeler的编辑页面时读取数据返回****状态码。

       <preclass="brush:xml"><propertyname="processEngineName"value="test"></property></pre>

       å¼•æ“Žé»˜è®¤åç§°ä¸ºdefault,()查询时会先检索main/resources,然后再检索test/resources的和文件,所以当main/resources监测不到指定文件时就会导致该引擎被当做web应用的引擎对象,这样会导致有两个引擎,所以把引擎的名称改为非默认的“default”。

       ##3.中文乱码问题解决办法

       åœ¨JVM参数中添加参数:

       >-=UTF-8-=UTF-8

       **参考**:[在ActivitiModeler中设计的流程包含奇数个中文时不能部署问题](

       ##4.效果截图

       åœ¨æœ€æ–°çš„kft-activiti-demo版本(1.7.0)中已经集成了ActivitiModeler,可以在线访问,也可以下载源码学习如何配置。

       ç™»å½•[

       </model>

       æ–°å¢žäº†çŽ¯èŠ‚用户任务,这时紧跟着新增一个表单即可,以及脚本、样式、WebAPI;删除了环节用户任务,这时可以不用管,为顾及旧版本的流程定义,其对应的表单还需要保留,并不能删除;修改了环节用户任务,比如在A环节新增了两个字段,同时在B环节减少了两个字段,这时就要为A、B两个环节各自重新创建表单、重新创建脚本、样式、以及重新创建WebAPI,因为表单变了,那么业务也就变了,SQL(表)也都跟着变了。

       ã€ŠActiviti实战》(闫洪磊)电子书网盘下载免费在线阅读

       é“¾æŽ¥:

       æå–码:xdni

       ä¹¦å:Activiti实战

       è±†ç“£è¯„分:7.2

       ä½œè€…:闫洪磊

       å‡ºç‰ˆç¤¾:_倒ひ党霭嫔

       å‡ºç‰ˆå¹´:-1-1

       é¡µæ•°:

       å†…容简介:

       ã€ŠActiviti实战》立足于实践,不仅让读者知其然,全面掌握Activiti架构、功能、用法、技巧和最佳实践,广度足够;而且让读者知其所以然,深入理解Activiti的源代码实现、设计模式和PVM,深度也足够。

       ã€ŠActiviti实战》一共四个部分:准备篇(1~2ç« )介绍了Activiti的概念、特点、应用、体系结构,以及开发环境的搭建和配置;基础篇(3~4ç« )首先讲解了ActivitiModeler、ActivitiDesigner两种流程设计工具的详细使用,然后详细讲解了BPMN2.0规范;实战篇(5~ç« )系统讲解了Activiti的用法、技巧和最佳实践,包含流程定义、流程实例、任务、子流程、多实例、事件以及监听器等;高级篇(~)通过集成WebService、规则引擎、JPA、ESB等各种服务和中间件来阐述了Activiti不仅仅是引擎,实际上是一个BPM平台,最后还通过源代码对它的设计模式及PVM进行了分析。

       ä½œè€…简介:

       é—«æ´ªç£Š(咖啡兔)资深软件开发工程师和架构师,为Activiti贡献了大量代码,为Activiti在中国的推广与普及做了大量的工作,在社群中有很高的威望和知名度,被称为中国Activiti领域的第一人。多年来一直从事OA、ERP等系统的开发与架构设计工作,持续关注并深入研究工作流引擎,目前就职于小马购车,担任架构师一职,并负责公司内部工作流平台的建设工作。

SpringCloud 微服务接口调用组件 - OpenFeign 简介

       本文是SpringCloud专栏的开篇之作，将逐步分享在实际工作中运用到的微服务组件及填坑经验，以期对大家有所帮助，减少踩坑的次数。

       专栏所采用的版本为SpringCloud .0.5及SpringBoot 2.5.0。

       OpenFeign是声明式的Rest接口客户端，相当于HttpClient，用于实现服务接口的远程调用。假设集群中有服务A和B，通过OpenFeign注解，服务A可以自动调用服务B的远程Rest接口，如同调用本地方法。

       示例代码中，通过Spring中获取Bean并调用getReviewerIds方法，即可请求远程服务AUTH的Rest接口。

       具体实例可参考官网提供的Feign Using Eureka示例。

       采用OpenFeign的原因在于它封装了Feign与RestTemplate，支持SpringMVC注解与消息转换器，结合SpringMVC定义的Controller注解，如@GetMapping、@PathVariable等，唯一区别在于当以Get方式传递Pojo对象时，提供了新的注解@SpringQueryMap。

       在SpringCloud .x版本中，已移除了ribbon的负载均衡功能，改为使用SpringCloud-LoadBalance实现。

       @FeignClient配置简介，其源码显示默认配置为FeignClientsConfiguration。配置方式一中，@FeignClient注解的configuration属性默认值为FeignClientsConfiguration，实际是通过@ConditionalOnMissingBean定义相关Bean。自定义配置类无需添加@Configuration注解，以免影响全局应用。

       配置方式二允许在配置文件中进行设置，配置文件优先级高于配置类，同时设置@FeignClient的configuration和配置文件时，配置文件优先。

       OpenFeign实现原理基于代理机制，通过自定义接口方法实现远程服务调用，且通过注册中心存储服务提供者信息，如集群数、实例IP和端口等。

       @FeignClient接口推荐在消费端实现，以便于维护和避免代码冗余。然而，不同的观点倾向于将此类放置在服务端。对于引入OpenFeign带来的问题，学习研究新组件和分布式事务问题成为首要挑战。

       OpenFeign使用简单，后续文章将探讨生产环境中使用OpenFeign遇到的问题及解决方案。