将JSF前缀映射更改为后缀会强制我重新应用于CSS背景图像的映射

Question

将JSF前缀映射更改为后缀会强制我重新应用于CSS背景图像的映射

14

我多年来一直使用前缀映射，但决定切换到后缀映射，只是为了从url中去掉/faces。在深入之前，我只是想确认我正在朝着正确的方向走，因为有一些意外情况发生。我从以下内容进行了更改：

<servlet-mapping>
    <servlet-name>FacesServlet</servlet-name>
    <url-pattern>/faces/*</url-pattern>
</servlet-mapping>

变成这样：

<servlet-mapping>
    <servlet-name>FacesServlet</servlet-name>
    <url-pattern>*.xhtml</url-pattern>
</servlet-mapping>

我看到所有通过FacesServlet的内容都加上了.xhtml，所以浏览器请求的是background.png.xhtml和style.css.xhtml文件，这是正确的吗？我想这被称为后缀映射，但我认为它看起来有点不整洁，我试图说服自己这是正确的做法。

在我的CSS文件中，当引用URI时也必须添加.xhtml：

background-image: url(images/background.png.xhtml);

然后我看到了BalusC的一篇帖子，提供了一个解决方案，可以防止在不经过FacesServlet的情况下下载资源：

<security-constraint>
    <display-name>Restrict raw XHTML docs</display-name>
    <web-resource-collection>
        <web-resource-name>XHTML</web-resource-name>
        <url-pattern>*.xhtml</url-pattern>
    </web-resource-collection>
    <auth-constraint/>
</security-constraint>

只有当我添加这个后，页面上才会加载真正的 .xhtml 文件，所有其他资源（尽管已添加了.xhtml）都不显示。

我想知道的是：

把.xhtml 添加到所有内容中是否正常（如果这是最愚蠢的问题，请原谅我）
为什么“限制原始xhtml文档”的安全约束会阻止CSS、JavaScript和图像等资源的加载？

感谢任何反馈。我正在 Glassfish 3.1 上使用 Mojarra 2.1.2。

- Oversteer

1个回答

网页内容由stack overflow 提供, 点击上面的

可以查看英文原文，
原文链接

- BalusC · Accepted Answer

那么我看到一切通过FacesServlet传递的内容都附加了 .xhtml，所以浏览器正在请求 .png.xhtml 文件、.css.xhtml 文件 - 这是对的吗？

这只适用于由<h:outputStylesheet>和<h:outputScript>包含的资源。这与URL映射的更改无关。这与从JSF 1.x到JSF 2.x的更改以及从<link rel =“stylesheet”>和<script>到上述JSF2标签的更改有关。

对于您自己的脚本、样式表和其他静态内容，这些内容将被提供给公共Web内容，您不应手动添加.xhtml扩展名。您不需要更改现有静态资源的任何内容。

仅针对CSS背景图像和CSS文件中使用url()引用的其他内容（使用<h:outputStylesheet>标记包含，因此不适用于<link rel =“stylesheet”>），您需要更改url()位置，以使其由EL动态解析。您需要使用以下语法：

body {
    background-image: url("#{resource['libraryname:path/to/image.png']}");
}

假设您有以下的/resources文件夹结构：

WebContent
 |-- META-INF
 |-- resources
 |    `-- default
 |         |-- images
 |         |    `-- background.png
 |         `-- css
 |              `-- style.css
 |-- WEB-INF
 `-- test.xhtml

假设您在以下情况下将style.css包含在test.xhtml中：

<h:outputStylesheet library="default" name="css/style.css" />

那么你应该按照以下方式定义背景图片的URL

body {
    background-image: url("#{resource['default:images/background.png']}");
}

或者当你依赖默认库时，因此你没有使用library，那么它应该像这样：

WebContent
 |-- META-INF
 |-- resources
 |    |-- images
 |    |    `-- background.png
 |    `-- css
 |         `-- style.css
 |-- WEB-INF
 `-- test.xhtml

test.xhtml:

<h:outputStylesheet name="css/style.css" />

style.css:

body {
    background-image: url("#{resource['images/background.png']}");
}

就安全约束而言，在您已经使用*.xhtml映射时，它是不需要的。安全约束旨在防止最终用户在FacesServlet映射到除*.xhtml之外的模式时查看原始XHTML源代码。如果映射为/faces/*，最终用户只需从URL中删除/faces部分，如果映射为*.jsf，则只需将.jsf重命名为.xhtml即可查看XHTML源代码。因为您已经使用*.xhtml映射，这使得通过URL黑客攻击查看原始XHTML源代码变得完全不可能，所以去掉安全约束只会使情况变得更糟。