升级到 Tomcat 8 后 Cookie 可能出现的问题

女爷i 2022-02-25 16:42 301阅读 0赞

From: [http://www.lichenliang.top/tomcat-8-invalid-character-cookie-value.html][http_www.lichenliang.top_tomcat-8-invalid-character-cookie-value.html]

# 问题场景 #

之前运行在 Tomcat 7 中的 Web 项目，当把 Tomcat 从 7 升级到 8.x 及更高版本后，用户登录失败，后台报异常：

<table> 
 <tbody> 
  <tr> 
   <td> <pre>java.lang.IllegalArgumentException: An invalid character [xx] was present in the Cookie value
 at org.apache.tomcat.util.http.Rfc6265CookieProcessor.validateCookieValue(Rfc6265CookieProcessor.java:162)
 at org.apache.tomcat.util.http.Rfc6265CookieProcessor.generateHeader(Rfc6265CookieProcessor.java:111)
 ...
</pre> </td> 
  </tr> 
 </tbody> 
</table>

# 规范变化 #

Tomcat 8.x（ or later）版本进了很多改进，其中的 Cookie 处理也升级到 RFC6265 规范，这可能导致在 Tomcat 8 以前版本中运行无问题的Web项目在 Tomcat 8 中报下面错误：

> java.lang.IllegalArgumentException: An invalid character \[34\] was present in the Cookie value

上面的 \[34\] 中的 34 是指 ASCII 码（十进制）对应的字符 “（双引号）。那么在不明确知道 RFC6265 规范中 Cookie 值可用的字符时，可能在 Cookie 值使用其他字符也会出现上面的问题。

那么下面就来看看到底哪些字符时不可用的。

# 查看源码 #

<table> 
 <tbody> 
  <tr> 
   <td> <pre>private void validateCookieValue(String value) {
    int start = 0;
    int end = value.length();

if (end &gt; 1 &amp;&amp; value.charAt(0) == '"' &amp;&amp; value.charAt(end - 1) == '"') {
        start = 1;
        end--;
    }

char[] chars = value.toCharArray();
    for (int i = start; i &lt; end; i++) {
        char c = chars[i];
        if (c &lt; 0x21 || c == 0x22 || c == 0x2c || c == 0x3b || c == 0x5c || c == 0x7f) {
            throw new IllegalArgumentException(sm.getString(
                    "rfc6265CookieProcessor.invalidCharInValue", Integer.toString(c)));
        }
    }
}
</pre> </td> 
  </tr> 
 </tbody> 
</table>

> [Rfc6265CookieProcessor.validateCookieValue 源码地址][Rfc6265CookieProcessor.validateCookieValue]

通过上面这段源码分析出 RFC6265 规范中 Cookie 值不可用的字符串，见下表：

<table> 
 <thead> 
  <tr> 
   <th>十进制</th> 
   <th>十六进制</th> 
   <th>缩写/字符</th> 
   <th>解释</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>34</td> 
   <td>0x22</td> 
   <td>“</td> 
   <td>双引号</td> 
  </tr> 
  <tr> 
   <td>44</td> 
   <td>0x2C</td> 
   <td>,</td> 
   <td>逗号</td> 
  </tr> 
  <tr> 
   <td>59</td> 
   <td>0x3B</td> 
   <td>;</td> 
   <td>分号</td> 
  </tr> 
  <tr> 
   <td>92</td> 
   <td>0x5C</td> 
   <td>\</td> 
   <td>反斜杠</td> 
  </tr> 
  <tr> 
   <td>127</td> 
   <td>0x7f</td> 
   <td>DEL (delete)</td> 
   <td>删除（控制字符）</td> 
  </tr> 
  <tr> 
   <td>&lt; 33</td> 
   <td>&lt; 0x21</td> 
   <td>略</td> 
   <td>控制字符/通信专用字符/空格</td> 
  </tr> 
 </tbody> 
</table>

# 问题原因 #

Tomcat 8 更换默认的 CookieProcessor 实现为 Rfc6265CookieProcessor ，之前的实现为 LegacyCookieProcessor 。前者是基于 RFC6265 ，而后者基于 RFC6265、RFC2109、RFC2616 。

# 解决方式 #

## 独立的 Tomcat ##

修改配置文件 context.xml ，指定 CookieProcessor 为 org.apache.tomcat.util.http.LegacyCookieProcessor，具体配置如下：

<table> 
 <tbody> 
  <tr> 
   <td> <pre>&lt;Context&gt;
    &lt;CookieProcessor className="org.apache.tomcat.util.http.LegacyCookieProcessor" /&gt;
&lt;/Context&gt;
</pre> </td> 
  </tr> 
 </tbody> 
</table>

## SpringBoot 内嵌 Tomcat 的解决方式 ##

在 springboot 启动类中增加内嵌 Tomcat 的配置 Bean，如下代码：

<table> 
 <tbody> 
  <tr> 
   <td> <pre>@SpringBootApplication
public class Application extends SpringBootServletInitializer {

public static void main(String[] args) {
        SpringApplication.run(Application.class, args);
    }

// Tomcat Cookie 处理配置 Bean
    @Bean
    public WebServerFactoryCustomizer&lt;TomcatServletWebServerFactory&gt; cookieProcessorCustomizer() {
        return (factory) -&gt; factory.addContextCustomizers(
            (context) -&gt; context.setCookieProcessor(new LegacyCookieProcessor()));
    }
}
</pre> </td> 
  </tr> 
 </tbody> 
</table>

参考资料：

> [Tomcat 8 CookieProcessor 实现变化][Tomcat 8 CookieProcessor]  
> [百度百科 ASCII ][ASCII]

[http_www.lichenliang.top_tomcat-8-invalid-character-cookie-value.html]: http://www.lichenliang.top/tomcat-8-invalid-character-cookie-value.html
[Rfc6265CookieProcessor.validateCookieValue]: http://svn.apache.org/repos/asf/tomcat/tc8.5.x/trunk/java/org/apache/tomcat/util/http/Rfc6265CookieProcessor.java
[Tomcat 8 CookieProcessor]: http://www.qingpingshan.com/rjbc/java/393606.html
[ASCII]: https://baike.baidu.com/item/ASCII