1.通过FileUtils.copyFile探索IO原理
2.Java SpringBoot本地上传文件到resources目录永久保存下载的最佳实践
3.浅谈URI中的任意文件下载

通过FileUtils.copyFile探索IO原理

       在日常开发中，我们往往借助于文件工具类进行文件复制操作，但你是否思考过这些工具类的性能表现和内部实现机制？今天，我们将深入解析Java中`FileUtils.copyFile`的实现原理，并通过理解`FileChannel`的概念，揭开文件复制背后的pave指标源码详解秘密。

       通常，文件复制操作看似简单，但实际上涉及到了系统层面的文件读写机制。以`FileUtils.copyFile`为例，它的性能如何？背后有哪些实现细节？让我们一起揭开谜底。

       首先，`FileUtils.copyFile`通过`FileChannel`进行文件复制，实现了一种在非直接缓冲区中通过Channel进行文件复制的方法。这一过程涉及两个关键步骤：读取与写入。

       在这一过程中，负53的源码数据从文件系统中读取后，需通过系统调用传输到JVM的堆内存中。这一过程中包含了多次数据复制操作和用户空间与内核空间的上下文切换，导致了性能损耗。

       接着，我们将通过代码实例展示这一过程，并观察其与`FileUtils.copyFile`在性能上的差异。令人惊讶的是，非直接缓冲区的文件复制速度明显低于直接缓冲区。

       那么，为何直接缓冲区能够大幅提高复制效率呢？关键在于直接缓冲区允许JVM通过一个`address`变量指向操作系统内存，从而在JVM内部直接使用操作系统内存。这种机制避免了数据在用户空间与内核空间之间的频繁复制，实现了所谓的“零拷贝”。

       通过使用直接缓冲区进行文件复制，麦麦网络源码性能得到了显著提升，实测结果显示，直接缓冲区的文件复制速度比非直接缓冲区快了整整倍。这一成果表明，通过优化数据传输路径，我们可以极大提高文件复制操作的效率。

       综上所述，通过深入理解Java中的`FileChannel`与直接缓冲区的概念，我们不仅能够优化文件复制操作的性能，还能够提升程序整体运行效率。这一过程不仅展示了Java与操作系统交互的细节，更凸显了性能优化在实际开发中的重要性。

Java SpringBoot本地上传文件到resources目录永久保存下载的最佳实践

       在Java SpringBoot项目中，为了实现本地文件上传并永久保存以便前端下载，最佳实践是菜品识别源码将文件存储在resources目录下，并结合target/classes目录。以下是具体步骤：

       首先，通过ResourceUtils.getURL("classpath:").getPath()获取target/classes目录的绝对路径，前端上传的文件应保存在此目录下的子目录，如upload/logo.jpg，返回的下载地址格式为http://localhost:/upload/logo.jpg。

       然而，target目录的变动性和不提交到代码仓库会导致文件丢失。这时，将文件保存在resources/upload目录下更为合适，因为这个目录通常会被提交到版本控制。每次上传后，文件会自动同步到target/classes目录，以实现实时访问，但手动编译运行会较为繁琐。在线搜图源码

       为解决这个问题，可以结合target和resources目录。使用System.getProperty("user.dir")获取项目工作目录，然后拼接资源目录路径。同时，需要检查application.yml、pom.xml和WebMvcConfiguration中的相关配置，确保静态资源正确映射和访问。

       当接收前端上传的File对象时，直接保存到第一个目录（如resources/upload），然后使用Spring的FileCopyUtils.copy方法复制到target/classes目录，以实现文件的持久保存和实时访问。

       以下是一些关键代码和配置示例：

       UploadFileUtil.java

       application.yml

       WebMvcConfiguration

       在实际操作中，Controller层需要处理文件上传的逻辑，包括接收到File对象，保存到资源目录，并确保配置正确，以便前端能够顺利访问。

浅谈URI中的任意文件下载

       文件下载业务中，URI的正确处理是关键。通常，接口形式如//download?fileName=xxx.png，若未过滤目录穿越符号如...或未限制下载路径，传入参数如../../etc/passwd即可实现路径穿越，下载任意文件。解析URI以得到文件名，如/file/test.jpg，尝试访问/file/../../test.jpg时，中间件或框架在解析路由时会有所处理。那么，能否通过此途径进行目录穿越并利用呢？

       在实际项目中，一个文件下载的实现使用了Spring框架的FileCopyUtils.copy()方法。文件路径filepath通过req.getRequestURI()获取，此方法不规范URI中的特殊字符，直接拼接路径并读取文件，未限制下载目录且未过滤敏感关键字，存在任意文件下载风险。

       当前项目的upload目录结构如下：

       访问../WEB-INF/web.xml，成功穿越到上级目录WebContent，并获取web.xml配置信息。中间件处理../，使其等同于直接访问/userfiles/WEB-INF/web.xml。若尝试读取更敏感文件如/etc/passwd，需要多级../，但tomcat处理后已不在有效目录范围内，返回异常。尝试扩大漏洞危害，编码请求触发 Invalid URI错误，tomcat对保留字符;进行截断并处理为参数。在编码基础上再次访问，获取路径为/upload/;/../../../../../../../../etc/passwd，返回状态码。

       结合网站其他业务，可以创建名为;的目录，访问/userfiles/upload/;%2f..%2f..%2f..%2f..%2f..%2f..%2f..%2f..%2fetc%2fpasswd，成功下载敏感文件。

       引入@PathVariable注解，用于接收请求路径中的占位符值，可以实现文件下载，如访问/var/work/download/{ filename}，下载名为{ filename}的文件。参数在URI中，利用还需探究。

       通常，直接使用../../../目录穿越尝试下载/etc/passwd等敏感文件，中间件解析时已处理../，参数filename无法利用。处理后URI为/file/etc/passwd，未找到映射，返回。

       尝试对/编码访问，tomcat源码检测到%2F斜杠返回状态码。源码流程包括解码和格式化URI。Spring对URI进行一次解码，如/file/get/..%fetc/passwd变为/file/get%2fetc/passwd。

       在前端用JS对URL编码，忽略Spring的解码操作。使用双重URL编码处理../请求，绕过中间件和Spring的URLDecode，实现目录穿越，成功下载内容。

       集成Shiro框架时，案例一中的;可能需要编码为%3b。Shiro高版本对编码进行处理，继续利用需深思。