認証バイパス：

7.2.8

この認証バイパスはShiroの権限バイパスと類似しています。 sessionfilterクラスのdofilterInternalメソッドでは、デフォルトのdofilterパラメータはtrueであり、falseの場合のみ認証を回避できます。 matchesメソッドを追跡すると、このコードはurlとpatterns内の134個のパス文字列を照合し、マッチが成功するとtrueを返してdofilterをtrueにできることがわかります。 その後、ループが判定に入るまでデバッグを続けると、このときpatternは/static.*?になります。

1. 正規表現パターン /static.? の意味： これは非貪欲モードの正規表現で、/static で始まり、その後に任意の文字（/ 、 . などを含む）が続く文字列にマッチします（.? は任意の文字にマッチすることを意味し、非貪欲モードはマッチする長さにのみ影響し、マッチするかどうかには影響しません）。
2. マッチする文字列： /static/../je/saas/saasYh/getInfoById この文字列は明確に /static で始まり、後続の内容に /../je/... が含まれるため、/static.*? のマッチ範囲に該当します。

したがって、任意のバックエンドディレクトリパスの前に/static/..を追加するだけで認証をバイパスできます。 実はここでは/static/..だけでなく、patterns内で単一階層パスであり、その後に.*?が付くものはすべてバイパス可能です。 例：

/error/.*?
/adminseal.zz/.*?
/dwr/.*?
...

すべてを特定したわけではありませんが、このルールに該当するものはすべてバイパス可能です。

7.2.9

新しいバージョン7.2.9では、urlをチェックするステップが追加されました。

checkErrorUrlを追跡すると、..が存在するかどうかをチェックしていることがわかります。