struts 拦截器bug？

Question

正确的访问是localhost:8080/test/account-
login!checkout.action?usermail=1a，这样可以访问到后台，但如果url是 localhost:8080/test/
~account-login!checkout.action?usermail=1a,注意
多了一个~,或者把~换成@%+等都可以正确访问，请问这是怎么回事？"test"是项目名。
@Namespace("/")
@Results( { @Result(name = CrudActionSupport.RELOAD, location = "/account-login.action", 
type = "redirect")
    }
)
public class AccountLoginAction{
}

Answer 1

这是在struts2升级后出现的问题。用的版本是struts2.3.15.2。你的意思是我随意写一个都可以让他访问到后台？那不是太扯了吗？

Answer 2

禁止访问某功能，把它暴露出来做什么，你做的页面不是为了给人用么

Answer 3

回复
没想暴露出来，只是用IBM 的Scan扫出来的一些似是而非的bug

Answer 4

你自己都说了，可以正确访问，都正确了你还想怎样。Struts本身容错机制确实多，很多你打错了或多打了一个字母也能使用的例子

Answer 5

不明觉二

Answer 6

跟踪了下源代码，发现是在DefaultActionMapper.java中的问题，protected String cleanupActionName(final String rawActionName) {}方法中，把非[a-zA-Z0-9._!/\-]*的字符全过滤掉了，导致输入一个特殊字符甚至是汉字+(正确的action路径)都可以访问到后台。