Spring Boot/Spring Security如何配置兼容请求分号 避免Tomcat解析报错

• 你遇到的报错和Spring Security没有任何关系：从堆栈可以看到，报错发生在内嵌Tomcat解析HTTP请求行的阶段，此时请求还未进入Spring的过滤器链，根本不会触发Spring Security的校验逻辑。
• 你展示的标准浏览器user-agent请求头中的分号完全符合HTTP协议规范：RFC明确允许请求头字段值包含分号，Tomcat不会对请求头内容做这类字符合法性校验。真正触发Invalid character found in the request target报错的原因是：请求目标（即HTTP请求行里的URL路径、查询参数部分）存在不符合RFC 7230、RFC 3986规范的未编码特殊字符。

典型触发报错：
java.lang.IllegalArgumentException: Invalid character found in the request target. The valid characters are defined in RFC 7230 and RFC 3986
触发位置：org.apache.coyote.http11.Http11InputBuffer.parseRequestLine（Tomcat解析请求行阶段）

1. 最优根治方式：修正请求端的非法字符 #

• 排查所有发往服务端的请求URL，对请求路径、查询参数里的特殊字符（包括裸分号、尖括号、反斜杠等）做标准URL编码：比如需要传递的分号要编码为%3B，不要直接将未编码的特殊字符拼在请求目标中。
• 不需要修改请求头里的合法分号内容：比如标准浏览器请求携带的user-agent值里的分号是完全合规的，不属于本次报错的触发源。

2. 存量场景兼容配置 #

如果存在大量存量老客户端无法快速改造，可通过配置让Tomcat兼容接收带特殊字符的请求，避免直接抛错导致服务响应异常：

配置方式一：直接修改Spring Boot配置文件 #

在application.yml中添加以下配置：

server:
  tomcat:
    # 允许请求路径中包含分号等特殊字符
    relaxed-path-chars: ";|,|["
    # 允许查询参数中包含分号等特殊字符
    relaxed-query-chars: ";|,|["

配置方式二：自定义Tomcat装配类（适配全版本Spring Boot） #

import org.springframework.boot.web.embedded.tomcat.TomcatServletWebServerFactory;
import org.springframework.boot.web.server.WebServerFactoryCustomizer;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;

@Configuration
public class TomcatServerConfig {
    @Bean
    public WebServerFactoryCustomizer<TomcatServletWebServerFactory> tomcatCustomizer() {
        return factory -> factory.addConnectorCustomizers(connector -> {
            // 给Tomcat连接器配置允许的松弛路径字符
            connector.setProperty("relaxedPathChars", ";<>,[\\]^`{|}");
            // 给Tomcat连接器配置允许的松弛查询字符
            connector.setProperty("relaxedQueryChars", ";<>,[\\]^`{|}");
        });
    }
}

3. 容易混淆的概念澄清 #

很多开发者会把这个报错和Spring MVC的分号路径匹配逻辑搞混：

• Spring MVC默认会截断URL中分号后的矩阵变量内容后再做路径映射，这个逻辑运行在请求进入DispatcherServlet之后，和本次Tomcat在请求行解析阶段报的错完全处于不同的处理层级。
• 网上流传的修改spring.mvc.pathmatch.remove-semicolon-content、use-suffix-pattern-match这类Spring MVC配置，完全无法解决本次的Tomcat解析报错，因为报错发生的阶段远早于Spring MVC的处理流程。

• 日志中出现的Request method 'POST' not supported告警，通常是请求被Tomcat拦断后，HTTP客户端自动重试切换请求方法触发的，不是服务端的接口方法映射配置错误。
• 不建议为了兼容特殊字符直接关闭Tomcat的严格字符校验，生产环境下完全关闭校验会提升安全风险，长期来看优先推动请求端做标准URL编码是更稳妥的方案。

内容的提问来源于stack exchange，提问作者GavinF