Question

根据某些安全要求，必须将X-Powered-By标头设置为空字符串。我一直在尝试在过滤器中设置标头但是当我查看Firebug中的标头时，我看到我的过滤器设置的自定义标头值附加了JSF / 1.2。

过滤器是请求链中的第一个，并且隐含地是响应链中的最后一个。下面是我在doFilter方法中编写的示例代码。

public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException,
            ServletException {
    // App specific logic...
    HttpServletResponse httpResponse = (HttpServletResponse) response;
    httpResponse.setHeader("X-Powered-By","");
    chain.doFilter(request, response);
}

我正在使用Tomcat 6.由于我的过滤器是响应链中的最后一个，在控件返回tomcat连接器后，tomcat是否再次设置此标头？

如何将此值覆盖为自定义值？

Answer 1

在应用程序的其余部分有时间处理响应之前，您正在设置响应标头。您应该在doFilter电话

之后进行设置

HttpServletResponse httpResponse = (HttpServletResponse) response;
// before filters and servlets
chain.doFilter(request, response);
// after filters and servlets
httpResponse.setHeader("X-Powered-By","");

另外，请确保回复isn't committed before setting the header。您可能必须更改其他servlet正在执行的操作或包装HttpServletResponse。

如果Jasper JSP引擎添加了标头，您可以检查它是否为configured that way。 $CATALINA_BASE/conf/web.xml中的Jasper servlet可能会将init-param xpoweredBy设置为true。

Answer 2

这里有关于Stackoverflow的类似问题JSF, override HTTP headers

简而言之：您需要编写一个PhaseListener。似乎在JSF servlet之前调用了一个过滤器，因此当您尝试覆盖响应头时，将覆盖您的标头。

覆盖X-Powered-By HTTP标头

2 个答案: