"/hoge/%2e" あるいは "/hoge/." でリクエストした際に404エラーになってしまう

Spring Bootで以下のようなRestAPIを作成しています。

java
1...
2
3@RequestMapping(value = "/hoge/{param:.+}")
4public ResponseEntity<?> get(@PathVariable("param") String param) {
5  return ResponseEntity.ok("Hello, world! Param : " + param);
6}
7
8...

このAPIに対し、http://localhost:8080/hoge/. あるいはピリオドをエンコードした http://localhost:8080/hoge/%2e にリクエストしたとき、いずれも404エラーになってしまいます。
ただし、http://localhost:8080/hoge/param. あるいは http://localhost:8080/hoge/param%2e は期待通りに動きます。

おそらく末尾の /. は Spring あるいは tomcat 側で不正なURLとして扱っていると推測していますが、それを裏付ける資料を探し当てる事ができませんでした。
また、エンコードしたピリオドも通常のピリオドと同様に扱われる理由がわかりません。

上記のような末尾にピリオドを使用した場合404エラーになってしまう原因、及びその回避策があればご教授いただきたいです。

hoshi-takanori

2021/10/11 09:52

Spring 以前に URL そのものの仕様で、パス部分の . や .. は特別扱いされるような…。(要出典)

sakata_inu

2021/10/12 09:52

Spring Security に StrictHttpFirewall#setAllowUrlEncodedPeriod というエンコードされたピリオドを許可すると思われるメソッドが存在します。今回は Spring Security を導入していないので Spring Boot 側の問題なのかなと推測しました。