Struts2之OGNL

OGNL（取值、赋值、调⽤普通⽅法、静态⽅法、创建对象）1、OGNL表达式（1）概念OGNL：对象导航图语⾔（Object Graph Navigation Language），是⼀种表达式语⾔，功能⽐EL表达式更为强⼤，它是集成在Struts中的。

在创建Struts项⽬的时候已经将OGNL有关的包导⼊了，所以，这⾥不需要重复导包。

（2）OGNLContext对象：EL表达式从是⼀个内置对象中取值，⽽OGNL表达式只从OGNLContext对象中取值，该对象可以分为两部分，其中root部分可以存放任何对象，Context部分只能存放键值对。

2、OGNL初始化和取值public class OgnlTest {public void test() throws OgnlException {User rootuser=new User("zhai","123",12);//root部分Map<String,User> context=new HashMap<String, User>();//context部分context.put("user1",new User("user1","111",12));context.put("user2",new User("user2","222",13));OgnlContext ognlContext=new OgnlContext();//创建OGNLContext对象ognlContext.setRoot(rootuser);ognlContext.setValues(context);//将root和context部分放⼊到OGNLContext内部String name= (String)Ognl.getValue("username",ognlContext,ognlContext.getRoot());//取值Integer age=(Integer)Ognl.getValue("userage",ognlContext,ognlContext.getRoot());String password=(String)Ognl.getValue("password",ognlContext,ognlContext.getRoot());System.out.println("⽤户名："+name+"，年龄"+age+",密码："+password);String name1= (String)Ognl.getValue("#ername",ognlContext,ognlContext.getRoot());Integer age1=(Integer)Ognl.getValue("#erage",ognlContext,ognlContext.getRoot());System.out.println("⽤户名："+name1+"，年龄"+age1);}（1）在初始化部分，需要先对root和context分别做初始化操作，然后将root和context放⼊到OGNLContext对象内部，这样初始化⼯作就完成了。

Struts2漏洞利⽤原理及OGNL机制Struts2漏洞利⽤原理及OGNL机制研究概述在MVC开发框架中，数据会在MVC各个模块中进⾏流转。

⽽这种流转，也就会⾯临⼀些困境，就是由于数据在不同MVC层次中表现出不同的形式和状态⽽造成的：View层—表现为字符串展⽰数据在页⾯上是⼀个扁平的、不带数据类型的字符串，⽆论数据结构有多复杂，数据类型有多丰富，到了展⽰的时候，全都⼀视同仁的成为字符串在页⾯上展现出来。

数据在传递时，任何数据都都被当作字符串或字符串数组来进⾏。

Controller层—表现为java对象在控制层，数据模型遵循java的语法和数据结构，所有的数据载体在Java世界中可以表现为丰富的数据结构和数据类型，你可以⾃⾏定义你喜欢的类，在类与类之间进⾏继承、嵌套。

我们通常会把这种模型称之为复杂的对象树。

数据在传递时，将以对象的形式进⾏。

可以看到，数据在不同的MVC层次上，扮演的⾓⾊和表现形式不同，这是由于HTTP协议与java的⾯向对象性之间的不匹配造成的。

如果数据在页⾯和Java世界中互相传递，就会显得不匹配。

所以也就引出了⼏个需要解决的问题：1．当数据从View层传递到Controller层时，我们应该保证⼀个扁平⽽分散在各处的数据集合能以⼀定的规则设置到Java世界中的对象树中去。

同时，能够灵活的进⾏由字符串类型到Java中各个类型的转化。

2．当数据从Controller层传递到View层时，我们应该保证在View层能够以某些简易的规则对对象树进⾏访问。

同时，在⼀定程度上控制对象树中的数据的显⽰格式。

我们稍微深⼊思考这个问题就会发现，解决数据由于表现形式的不同⽽发⽣流转不匹配的问题对我们来说其实并不陌⽣。

同样的问题会发⽣在Java世界与数据库世界中，⾯对这种对象与关系模型的不匹配，我们采⽤的解决⽅法是使⽤如hibernate，iBatis等框架来处理java对象与关系数据库的匹配。

现在在Web层同样也发⽣了不匹配，所以我们也需要使⽤⼀些⼯具来帮助我们解决问题。

OGNL:【struts的标签库在 struts2-core-2.3.11.jar 下的META-INF下】【引入标签库：<%@ taglib uri="/struts-tags" prefix="s"%>】OGNL是Object Graphic Navigation Language（对象图导航语言）的缩写，它是一个开源项目。

Struts2框架使用OGNL作为默认的表达式语言。

OGNL相对其它表达式语言具有下面几大优势：1、支持对象方法调用，如xxx.doSomeSpecial()；2、支持类静态的方法调用和值访问，表达式的格式:@[类全名（包括包路径）]@[方法名 | ?值名]，例如：@ng.String@format('foo %s', 'bar')或@tutorial.MyConstant@APP_NAME；3、支持赋值操作和表达式串联，如price=100, discount=0.8,calculatePrice()，这个表达式会返回80；4、访问OGNL上下文（OGNL context）和ActionContext；5、操作集合对象。

Ognl 有一个上下文（Context）概念，说白了上下文就是一个MAP结构，它实现了java.utils.Map的接口.OGNL（Object Graph Navigation Language），是一种表达式语言。

使用这种表达式语言，你可以通过某种表达式语法，存取Java对象树中的任意属性、调用Java对象树的方法、同时能够自动实现必要的类型转化。

如果我们把表达式看做是一个带有语义的字符串，那么OGNL无疑成为了这个语义字符串与Java对象之间沟通的桥梁。

================================================================================ ====================================================【一、理解Struts2中的 ValueStack:】ValueStack实际是一个接口,在Struts2中利用OGNL时，实际上使用的是实现了该接口的OgnlValueStack类,这个类是Struts2利用OGNL的基础ValueStack(值栈): 贯穿整个 Action 的生命周期(每个 Action 类的对象实例都拥有一个ValueStack 对象). 相当于一个数据的中转站. 在其中保存当前Action 对象和其他相关对象.Struts 框架把 ValueStack 对象保存在名为“struts.valueStack”的请求属性中,request 中在 ValueStack 对象的内部有两个逻辑部分:ObjectStack: Struts 把动作和相关对象压入 ObjectStack 中--List 对象栈ContextMap: Struts 把各种各样的映射关系(一些 Map 类型的对象) 压入 ContextMap 中Map栈Struts 会把下面这些映射压入 ContextMap 中 (Map栈中)root: ObjectStack对象栈的引用parameters: 该 Map 中包含当前请求的请求参数request: 该 Map 中包含当前 request 对象中的所有属性session: 该 Map 中包含当前 session 对象中的所有属性application:该 Map 中包含当前 application 对象中的所有属性attr: 该 Map 按如下顺序来检索某个属性: request, session, application在ObjectStack(对象栈)中一般放入：ValueStackAction对象map集合实体类对象================================================================================ =======================================【二、理解OGNL Context】OgnlValueStack 类包含两个重要的属性一个root和一个context。

首先了解下OGNL的概念：OGNL是Object-Graph Navigation Language的缩写，全称为对象图导航语言，是一种功能强大的表达式语言，它通过简单一致的语法，可以任意存取对象的属性或者调用对象的方法，能够遍历整个对象的结构图，实现对象属性类型的转换等功能。

此外，还得先需弄懂OGNL的一些知识：1.OGNL表达式的计算是围绕OGNL上下文进行的。

OGNL上下文实际上就是一个Map对象，由ognl.OgnlContext类表示。

它里面可以存放很多个JavaBean对象。

它有一个上下文根对象。

上下文中的根对象可以直接使用名来访问或直接使用它的属性名访问它的属性值。

否则要加前缀“#key”。

2.Struts2的标签库都是使用OGNL表达式来访问ActionContext中的对象数据的。

如：<s:propertyvalue="xxx"/>。

3.Struts2将ActionContext设置为OGNL上下文，并将值栈作为OGNL的根对象放置到ActionContext中。

4.值栈(ValueStack) ：可以在值栈中放入、删除、查询对象。

访问值栈中的对象不用“#”。

Struts2总是把当前Action实例放置在栈顶。

所以在OGNL中引用Action中的属性也可以省略“#”。

5.调用ActionContext的put(key,value)放入的数据，需要使用#访问。

OGNL中重要的3个符号：#、%、$:#、%和$符号在OGNL表达式中经常出现，而这三种符号也是开发者不容易掌握和理解的部分，需要时间的积累才渐渐弄清楚……1．#符号#符号的用途一般有三种。

—访问非根对象属性，例如#session.msg表达式，由于Struts 2中值栈被视为根对象，所以访问其他非根对象时，需要加#前缀。

实际上，#相当于ActionContext. getContext()；#session.msg表达式相当于ActionContext.getContext().getSession(). getAttribute("msg") 。

Struts2基础知识Struts2概述1.Struts2框架应用javaee三层结构中的web层框架。

2.Struts2框架在struts1和webwork基础之上发展的全新框架。

3.Struts2所解决的问题：在以往实现一个功能时，都需要写很多的servlet，从而造成后期维护上的不方便。

图解：4.现在比较稳定的Struts2版本struts-2.3.24-all.zip5.web层常见框架1.struts2.springMVCStruts2框架入门1.导入jar包1.在lib里面有jar包，但不能全部导入，因为里面含有一些spring包，是不能使用的，导入会导致程序不能运行。

2.到app目录里面复制案例的jar包是最好的方法。

2.创建action3.配置action类的访问路径1.创建struts2核心配置文件，该核心配置文件位置和名称是固定的，位置必须在src下面，名称为struts.xml 。

2.引入dtd约束，可以在案例文件中找到，复制在struts.xml文件中即可。

3.action的配置*注意访问路径：http://域名/端口号/项目名/action名.action注意：.action可以省略，但建议不要省略，为了兼容一些老版本的浏览器。

4.配置Struts2的过滤器，可以在案例中的web.xml文件中找到，复制粘贴即可。

Struts2执行过程图解：Struts2配置1.是一种常量标签2.修改Struts2的默认常量值1.常用方式在struts.xml中进行配置。

2.其它两种方式1.在src下面创建struts.properties文件并修改。

2.在web.xml文件中进行修改。

3.Struts2最常用的常量struts.il8n.encoding=UTF-8,解决表单在通过post方式提交中文时，中文乱码的问题。

Struts2笔记(一)可使用全局页面。

1、配置方法：在package标签下配置2、注意：该标签只能在一个package标签中使用，如果有多个标签，需要重新定义。

一、发展历史及简介发展历史Struts最早是作为Apache Jakarta项目的组成部分，项目的创立者希望通过对该项目的研究，改进和提高JavaServer Pages、Servlet、标签库以及面向对象的技术水准。

Struts这个名字来源于在建筑和旧式飞机中使用的支持金属架。

这个框架之所以叫"Struts"，是为了提醒我们记住那些支撑我们房屋，建筑，桥梁，甚至我们踩高跷时候的基础支撑。

这也是一个解释Struts在开发Web应用程序中所扮演的角色的精彩描述。

当建立一个物理建筑时，建筑工程师使用支柱为建筑的每一层提供支持。

同样，软件工程师使用Struts为业务应用的每一层提供支持。

它的目的是为了帮助我们减少在运用MVC设计模型来开发Web应用的时间。

我们仍然需要学习和应用该架构，不过它将可以完成其中一些繁重的工作。

如果想混合使用Servlets和JSP的优点来建立可扩展的应用，Struts是一个不错的选择。

早期Smalltalk程序语言便采用了MVC(Model-View-Controller)模式(Patterns)以增加程序代码弹性，MVC模式将程序代码整理切割为三部分，Model部分是业务与应用领域（Business domain)相关逻辑、管理状态之对象，Controller部分接收来自View所输入的资料并与Model部分互动，struts业务流程控制（Flow Control)之处，View部分则负责展现资料、接收使用者输入资料。

在Java应用中，JFC/Swing、AWT、JSP皆是可用作View的技术规格，而JavaBean与Enterprise JavaBean规格则可用于Model程序代码，一旦应用程序以MVC模式加以适当的分割，Model部分程序代码可在不同使用者接口外观的应用程序中重复使用。

随着JSP与Servlet技术大量应用于以Web为基础的应用程序，Java开发人员群体认为应以较佳的模式以提升Web应用程序的可维护性与重复使用性。

1. Struts2简介1.1. 什么是Struts21.1.1. Struts2的概念Struts2是轻量级的MVC框架，它主要解决了请求分发的问题，重心在于控制层和表现层。

轻量级，指的是Struts2具有较低的侵入性，就是它对我们业务代码的依赖程度很低，简单来说，在使用Struts2框架时，我们的业务代码中基本上不需要import它的包。

Struts2实现了MVC，满足了MVC设计思想。

在我们使用Struts2做开发的时候，就相当于使用了MVC，这是Struts2自动帮助我们实现的，是默认的、隐含的，我们不需要再写特别的代码来实现MVC了。

作为一个框架，Struts2提供了一系列的API，我们可以使用它们来简化代码的编写，从而提升开发效率。

这些API复用程度很高，对业务代码的依赖性也很小，甚至很多是Struts2自动调用的，因此在很大程度上，我们的开发变得可以复用。

Struts2解决请求分发的问题，我们会在后面为什么使用Struts2中讲解。

重心在控制层和表现层，是纵观整个Struts2理论课程来看的，从中我们会体会到这一点，随着大家对Struts2的逐步了解，届时我们再回顾这一点。

1.1.2. 什么是MVCMVC是代码的分层思想，是软件设计领域经典的设计模式。

它根据代码功能的不同，将一个软件的代码分为3部分，即模型、视图、控制器，这3部分代码的含义和功能如下。

1、M-Model 模型模型（Model）的职责是负责业务逻辑。

包含两层：业务数据和业务处理逻辑。

比如实体类、DAO、Service都属于模型层。

2、V-View 视图视图（View）的职责是负责显示界面和用户交互（收集用户信息）。

属于视图的组件是不包含业务逻辑和控制逻辑的JSP。

3、C-Controller 控制器控制器是模型层M和视图层V之间的桥梁，用于控制流程。

比如：在Servlet项目中的单一控制器ActionServlet。

第8章？第9章Struts2标签库和OGNL学习内容Struts 2标签库OGNL能力目标熟练使用Struts 2常用标签熟练使用OGNL本章简介前面我们编写的案例使用的都是HTML 标签，这些标签并不能很好的与Struts 2框架结合，Struts 2和Struts 1一样都自带了功能强大、成熟完善的标签库供我们使用，通过使用这些标签库可以大大提高开发效率和代码的可维护性。

其实Struts 2的标签库是建立在OGNL 基础上的，OGNL 是一种功能强大的表达式语言，通过简单的语法即可存取对象的属性、调用对象的方法、遍历等功能。

本章将学习OGNL 和Struts 2标签库，包括数据访问标签、控制标签、表单标签和非表单标签等。

核心技能部分9.1 OGNL9.1.1 ActionContextStruts 2中的ActionContext 、ValueStack 和StackContext 对象与OGNL 密切相关，理解这三个对象时学习OGNL 的前提。

在前面的学习中，我们已经在使用ActionContext 、ValueStack 和StackContext 对象了，这三个对象的作用及其之间的关系如图8.1.1所示。

图8.1.1ActionContext1. ActionContext 对象ActionContextValueStackStackContextAction 其他Session Request Application Parameters Attribute 其他ActionContext（com.opensymphony.xwork.ActionContext）是Action执行时的上下文。

我们可以把上下文可以看作是一个容器，用于存放Action执行时需要使用的对象，例如请求的参数(Parameter)、会话（Session）、Servlet上下文（ServletContext）等。

ognl 三目表达式判断字符串参数拼接1.引言1.1 概述在本文中，将会介绍OGNL（Object-Graph Navigation Language）以及如何利用三目表达式来判断字符串参数拼接的方法。

OGNL是一种强大的表达式语言，可以用于访问和操作对象的属性、方法和索引，是很多Java框架（如Struts2、JSP等）中常用的表达式语言之一。

三目表达式是一种简洁的条件表达式，由三个部分组成：条件部分、真值部分和假值部分。

根据条件的真假情况，表达式可以返回真值部分或假值部分的值。

在本文中，我们将会利用三目表达式来判断字符串参数的情况，并实现相应的拼接方法。

本文的目的是为读者提供一个深入理解OGNL和三目表达式的文章，帮助读者在实际项目中更好地应用这两种技术。

在接下来的章节中，我们将首先介绍OGNL的基本概念和用法，然后深入探讨三目表达式的工作原理和常见用法。

最后，我们将给出一些例子，帮助读者更好地理解和运用OGNL和三目表达式。

在这篇文章中，我们将从基础知识开始，逐步向高级内容过渡。

无论您是初学者还是有一定经验的开发者，本文都会为您提供有价值的信息和实用的技巧。

希望读者通过本文的阅读，能够更加了解OGNL和三目表达式，并能够在实际项目中灵活运用这些技术。

接下来，我们将进入正文部分，首先介绍OGNL的简介和基本概念。

让我们一起开始这段令人兴奋的学习之旅吧！1.2 文章结构该篇文章主要围绕OGNL 和三目表达式展开讨论，并介绍了如何使用这两者来判断字符串参数拼接的方法。

文章结构如下所示：第一部分为引言，主要包括概述、文章结构和目的。

1.1 概述：介绍文章的主题和背景，提出需要解决的问题。

1.2 文章结构：本部分，即本文所在的部分，将详细介绍文章的结构和内容布局。

1.3 目的：阐明文章的目标和意义，以及解决问题的重要性。

第二部分为正文，主要分为三个小节，分别是OGNL 简介、三目表达式概述和字符串参数拼接方法。

s2-052原理S2-052是指一种计算机安全漏洞，原理是利用Apache Struts 2框架的一个漏洞来执行远程代码。

Apache Struts 2是一个用于构建Web应用程序的开源框架，被广泛使用。

S2-052漏洞是Struts 2框架的一个安全漏洞，其原理是对Struts 2的核心组件——OGNL（Object-Graph Navigation Language）表达式进行了恶意注入。

在受到该漏洞攻击的情况下，攻击者可以构造恶意请求并发送给受影响的服务器。

服务器接收到请求后，会解析请求中的OGNL表达式，并在执行过程中未对其进行充分验证和过滤，导致攻击者可以在服务器上执行任意代码。

通过利用S2-052漏洞，攻击者可以实现远程命令执行，包括任意文件读取、文件删除、命令执行等操作。

这可能导致服务器的敏感数据泄露、系统被入侵、服务被停止等安全问题。

为了修复这个漏洞，Apache Struts 2开发团队发布了针对S2-052漏洞的安全补丁。

用户应该尽快更新Struts 2框架，并确保及时应用最新的安全补丁，以防止受到S2-052漏洞的攻击。

S2-052漏洞的具体原理如下：1. Apache Struts 2框架中的DefaultActionMapper类存在安全问题，攻击者可以通过构造恶意的请求来利用该漏洞。

2. 默认情况下，Struts 2框架使用的是通配符“/*”来匹配URL中的动作（action）。

攻击者可以通过构造特殊的URL，例如“/*/xxx.action”，来绕过框架的安全检查。

3. 在解析请求时，DefaultActionMapper会将URL中的动作部分进行解析。

恶意请求中的动作部分包含OGNL表达式，由${}包裹。

4. OGNL是Struts 2框架中用于动态访问和操作Java对象的表达式语言，可以通过OGNL表达式执行代码。

5. 由于默认配置下Struts 2框架对OGNL表达式的处理不够安全，未对其中的特殊字符进行充分的过滤和验证。