url 里神奇的 分号 斜杠

　　一开始发现了一个安全问题，cas/status/config ，cas/statistics 接口会泄漏一些配置文件（此时不确定底层代码是否还有别的接口，其实最好的办法就是直接覆盖底层类，直接去掉这些接口，这是后话了）

 

　　刚开始想了一个简单的方案，就是直接nginx 层面，通过前缀匹配，把这些接口直接 404，实现了需求，直到后来一个大佬提出问题

cas/status/;/;/;/;/config
cas/status;/config

　　这样仍然能跳过判断，直接请求进去，还真是这么一回事，加上分号，竟然跟正常的请求一样。太TM的神奇

　　试了下，把分号换成别的特殊字符都不行

 

　　再举个例子

https://jiashubing.cn/share
https://jiashubing.cn/;/;/;/;/share

　　这两个请求都能打开同一个网址

 

　　原创文章，欢迎转载，转载请注明出处！