Bean.setshiro FilterConfiguration

一、漏洞描述 Apache Shiro 是一个可执行身份验证、授权、加密和会话管理的 Java 安全框架。 由于 1.11.0 及之前版本的 Shiro 只兼容 Spring 的ant-style路径匹配模式（pattern matching），且 2.6 及之后版本的 Spring Boot 将 Spring MVC 处理请求的路径匹配模式从AntPathMatcher更改为了PathPatternParser，当 1.11.0 及之前版本的 Apache Shiro 和 2.6 及之后版本的 Spring Boot 使用不同的路径匹配模式时，攻击者访问可绕过 Shiro 的身份验证。 影响范围 org.apache.shiro:shiro-web@[1.0.0-incubating, 1.11.0) shiro@影响所有版本 二、相关分析 根据对应漏洞的描述，先简单看看Spring MVC两个处理请求的路径匹配模式:AntPathMatcher&PathPatternParser（根据官方文档的描述：Parser for URI path patterns producing...