Allow opting out of the default charset being appended to the request `Content-Type` header
メンテナーはふだん 1 日以内に返信
まだ誰も着手していません。
評価
調査の方向性
まず AwsProxyHttpServletRequestReader.java と ContainerConfig.java を確認し、デフォルトの文字セットがどのように追加、設定されるかを追ってください。次に AwsProxyHttpServletRequestReaderTest を読んで実行し、オプトアウト、変更されていないデフォルトの動作、既存の charset= パラメーターを対象とするテストを追加してください。オプトアウトによって受信した Content-Type が変更されず、デフォルトの動作も維持されれば完了です。
索引モデルが issue の本文から書いたものです。
説明
- Framework version: 3.0.2 (also confirmed identical in 3.0.3 and on
main) - Implementations: All (core
AwsProxyHttpServletRequestReader)
Scenario
AwsProxyHttpServletRequestReader.readRequest(...) rewrites the incoming Content-Type header on the
proxy event before the servlet request is built (and so before any filter runs):
// AwsProxyHttpServletRequestReader.java#L55
request.getMultiValueHeaders().putSingle(HttpHeaders.CONTENT_TYPE, getContentTypeWithCharset(contentType, config));
If the client sent a Content-Type without a charset parameter, getContentTypeWithCharset appends
"; charset=" + config.getDefaultContentCharset(), which defaults to ISO-8859-1:
AwsProxyHttpServletRequestReader.javaL55: the mutation onto the eventAwsProxyHttpServletRequestReader.javaL82-L98:getContentTypeWithCharsetContainerConfig.javaL27:DEFAULT_CONTENT_CHARSET = "ISO-8859-1"ContainerConfig.javaL278-L291: getter/setter
This breaks any application that has to see the request headers exactly as the client sent them.
The case I hit is request-signature verification: the client signs a set of request components that
includes Content-Type (e.g. an HTTP message signature, a proof-of-possession token whose claims
hash the request headers, or an HMAC scheme). A servlet filter then recomputes the signature input
from HttpServletRequest. Because the container has already changed application/json to
application/json; charset=ISO-8859-1, the recomputed hash never matches and every request that
omits a charset fails verification.
There is currently no way to turn this off through ContainerConfig:
setDefaultContentCharset(null)producesContent-Type: application/json; charset=nullsetDefaultContentCharset("")producesContent-Type: application/json; charset=
Both still change the header. The only workarounds are to replace or subclass the request reader, or to
reverse-engineer the exact appended suffix inside the verifier and retry with it stripped. Both
depend on container internals.
(Related background: #175 covered how a forced default charset interacts badly with
application/json, which RFC 8259 defines as UTF-8 and which has no charset parameter.)
Expected behavior
There should be a supported way to make the container leave the client's Content-Type unmodified.
The default behavior can stay as it is.
Actual behavior
Whenever no charset is present, the header is always rewritten, and no configuration value avoids it.
Steps to reproduce
- Build an
AwsProxyRequestwith headerContent-Type: application/json(no charset). - Run it through
AwsProxyHttpServletRequestReader.readRequest(...). Calling
setDefaultContentCharset(null)on theContainerConfigfirst doesn't change the outcome. - Observe
servletRequest.getHeader("Content-Type")returnsapplication/json; charset=ISO-8859-1
(or; charset=null), and that the original event's multi-value headers were mutated as well.
Proposed fix
Make the append opt-out-able, default unchanged. Two options, happy to go with whichever the
maintainers prefer:
Option A: treat a null/blank charset as "don't append" (smallest diff, no new API)
private String getContentTypeWithCharset(String headerValue, ContainerConfig config) {
if (headerValue == null || "".equals(headerValue.trim())) {
return headerValue;
}
if (headerValue.contains("charset=")) {
return headerValue;
}
String charset = config.getDefaultContentCharset();
if (charset == null || charset.trim().isEmpty()) {
return headerValue;
}
...
}
Users opt out with config.setDefaultContentCharset(null). Downside: it gives null a special meaning
that isn't obvious from the API, so the setDefaultContentCharset Javadoc would need to document it.
Right now null just produces a malformed charset=null value, so nobody can depend on the current
behavior.
Option B: explicit boolean flag (more readable intent)
Add ContainerConfig#setAppendDefaultContentCharset(boolean) (default true) and check it in
getContentTypeWithCharset. It's a slightly bigger change (field, getter/setter, default init, guard),
but the setting explains itself.
Either way the default (ISO-8859-1 appended) stays the same, so existing users aren't affected. I'm
happy to open a PR with the change plus tests in AwsProxyHttpServletRequestReaderTest. The tests would
cover: no suffix when opted out, the default path still appending, and an existing charset= left as is.
- 主要言語
- Java
- スター
- 1.6k
- フォーク
- 575
- 平均マージ
- 1日 15時間
- マージ済み PR(30日)
- 12
環境構築
- Dockerfile・Docker Compose ファイルなし
- プルリクエストのテンプレートあり
- コントリビューションガイドを読む
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
aws/serverless-java-container のほかの issue
-
難易度 1/5 1時間未満 初心者へのやさしさ 88/100
aws/serverless-java-container#1715 ·
メンテナーはふだん 1 日以内に返信
-
Support for API Gateway mTLS clientCert field対応中かも @2748109647 が 10 日前に担当しました。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 48/100
aws/serverless-java-container#1726 ·
メンテナーはふだん 1 日以内に返信
-
難易度 4/5 3〜5日 初心者へのやさしさ 35/100
aws/serverless-java-container#1579 · コメント 3 件 · リアクション 1 件 ·
メンテナーはふだん 1 日以内に返信
-
難易度 3/5 1〜2日 初心者へのやさしさ 42/100
aws/serverless-java-container#1568 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
難易度 3/5 1〜2日 初心者へのやさしさ 42/100
aws/serverless-java-container#1551 ·
メンテナーはふだん 1 日以内に返信
aws/serverless-java-container の issue をすべて見る
似ている issue
-
難易度 2/5 1〜3時間 初心者へのやさしさ 75/100
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 75/100
ls1intum/thesis-management#1473 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 76/100
LunaDeerMC/Dominion#301 · コメント 1 件 ·
-
[FEATURE] Expose external refresh, node-level translog and warmer stats対応中かも このイシューにリンクされたプルリクエストがオープン中、またはマージ済みです。 オープンuntriaged
難易度 2/5 1〜3時間 初心者へのやさしさ 68/100
opensearch-project/opensearch-prometheus-exporter#680 ·
メンテナーはふだん 2 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 85/100