Spring View操作漏洞 在本文中,我们解释了Spring Framework中不受限制的视图名称操纵可能有多么危险。在这样做之前,让我们看一下使用Thymeleaf作为模板引擎的最简单的Spring应用程序: 结构: : @Controller public class HelloController { @GetMapping ( " / " ) public String index ( Model model ) { model . addAttribute( " message " , " happy birthday " ); return " welcome " ; } } 由于使用@Controller和@GetMapping("/")批注,因此对于根URL('/')的每个HTTP GET请求都将调用此方