在 WebSocket @ServerEndpoint 中访问 HttpServletRequest 属性

Question

我需要访问 HttpServletRequest 属性来获取 javax.servlet.request.X509Certificate，其中包含用于 TLS 请求的 X509Certificate 证书数组。

从 JAX-RS ContainerRequestFilter 我可以轻松地从 ContainerRequestContext.getProperty(String property) 方法中提取它，但我找不到从 WebSocket Session 或 HandshakeRequest 获取它的方法，我可以从中获取访问 HttpSession 实例，但不能访问 HttpServletRequest 实例。

注意：这不是 Accessing HttpSession from HttpServletRequest in a Web Socket @ServerEndpoint 的副本，因为我需要访问 HttpServletRequest（或等效于提取 TLS 证书），而不是 HttpSession。

由于 WebSocket 是 HTTP 的超集，我想它应该是可能的，并希望 Java 团队已经想到了一种访问 servlet 属性的方法，但我真的找不到。有人知道这是否可能吗？

Answer 1

没有黑客攻击：

1. 在 URL 模式匹配 websocket 握手请求上创建 servlet 过滤器。
2. 在过滤器中，获取感兴趣的请求属性并在继续链之前将其放入会话中。
3. 最终从会话中获取它，而会话又可以通过握手请求获得。

黑客攻击：

1. 使用反射在握手请求实例中查找ServletRequest 字段。

2. 获取其javax.servlet.request.X509Certificate 属性。

   换句话说：

   public class ServletAwareConfigurator extends Configurator {
   
       @Override
       public void modifyHandshake(ServerEndpointConfig config, HandshakeRequest request, HandshakeResponse response) {
           ServletRequest servletRequest = getField(request, ServletRequest.class);
           X509Certificate[] certificates = (X509Certificate[]) servletRequest.getAttribute("javax.servlet.request.X509Certificate");
           // ...
       }
   
       private static <I, F> F getField(I instance, Class<F> fieldType) {
           try {
               for (Class<?> type = instance.getClass(); type != Object.class; type = type.getSuperclass()) {
                   for (Field field : type.getDeclaredFields()) {
                       if (fieldType.isAssignableFrom(field.getType())) {
                           field.setAccessible(true);
                           return (F) field.get(instance);
                       }
                   }
               }
           } catch (Exception e) {
               // Handle?
           }
   
           return null;
       }
   
   }