如何处理用户输入的URL结尾以保障Java请求安全？

针对你代码中直接拼接用户输入到URL的风险，可通过以下几个步骤确保输入合规并避免安全问题：

1. 输入合法性校验（白名单规则） #

先定义产品名称的合法格式，比如仅允许字母、数字、下划线和连字符，同时限制长度，不符合规则直接拒绝输入。

// 校验产品名称格式的方法
private static boolean isValidProductName(String input) {
    if (input == null || input.isBlank()) {
        return false;
    }
    // 允许大小写字母、数字、下划线、连字符，长度1-50字符
    String validPattern = "^[a-zA-Z0-9_-]{1,50}$";
    return input.matches(validPattern);
}

// 使用示例
final var productName = getUserInput();
if (!isValidProductName(productName)) {
    System.err.println("请输入合法的产品名称，仅允许字母、数字、下划线和连字符");
    return; // 终止流程或抛出自定义业务异常
}

2. 强制URL编码（核心安全步骤） #

即使通过了格式校验，也要对用户输入进行URL编码，避免特殊字符破坏URL结构，防止路径注入等攻击。Java中可以用URLEncoder或URI类处理：

方法一：使用URLEncoder #

import java.net.URLEncoder;
import java.nio.charset.StandardCharsets;

// ...
String encodedName = URLEncoder.encode(productName, StandardCharsets.UTF_8);
String requestUrl = "https://www.myshop.com/products/byName/" + encodedName;

方法二：使用URI构建（更严谨） #

import java.net.URI;
import java.net.URISyntaxException;

// ...
try {
    URI uri = new URI("https", "www.myshop.com", "/products/byName/" + productName, null);
    String requestUrl = uri.toASCIIString();
} catch (URISyntaxException e) {
    System.err.println("URL构建失败：" + e.getMessage());
    // 异常处理逻辑
}

3. 基于已知产品列表的白名单校验（可选，安全性更高） #

如果你的产品名称是预定义的，直接维护一个合法产品集合，用户输入必须在集合内才允许使用：

// 预定义合法产品名称集合（可从数据库/配置文件加载）
private static final Set<String> VALID_PRODUCTS = Set.of("wireless-mouse", "mechanical-keyboard", "gaming-laptop");

// 使用示例
final var productName = getUserInput().trim().toLowerCase();
if (!VALID_PRODUCTS.contains(productName)) {
    System.err.println("该产品不存在");
    return;
}

4. 异常处理 #

对HTTP请求添加异常捕获，处理无效URL、网络错误等情况，避免程序崩溃：

try {
    String response = makeGetRequest(requestUrl);
    System.out.println(response);
} catch (IOException e) {
    System.err.println("请求失败：" + e.getMessage());
    // 可添加日志记录、重试逻辑等
}

总结 #

推荐优先组合格式校验+URL编码的方案；如果产品列表固定，使用预定义集合的白名单校验安全性最高。同时必须添加异常处理，覆盖URL构建和HTTP请求的异常场景。

内容的提问来源于stack exchange，提问作者Bwallker