Spring bootのバージョンアップに伴うバグ修正

Question

実現したいこと

CSV出力ボタンを押したらGoogle Chromだと右上にダウンロードされるようにしたいです。

前提

ここに質問の内容を詳しく書いてください。

現在springbootのバージョンアップ(2.2→2.7)をしているのですが、2.2環境で動いていた機能が意図しない動作をするようになってしまいました。
今起きてしまってる現象はCSV出力という画面上のボタンをクリックするとダウンロードされるのではなくページに表示されるようになってしまってます。以前まではクリックするとよくあるブラウザの右上にダウンロードされる状態だったのですが...

依存関係が悪いのかソースが悪いのか、また現在STSをeclipseで動かしてるのですがその設定がダメなのか分からず立ち往生してます。

発生している問題・エラーメッセージ

The HTTP response header [Content-Disposition] with value [attachment; filename="サバイブ.csv"; filename*=UTF-8''%E3%82%B5%E3%83%90%E3%82%A4%E3%83%96.csv] has been removed from the response because it is invalid

java.lang.IllegalArgumentException: The Unicode character [サ] at code point [12,469] cannot be encoded as it is outside the permitted range of 0 to 255

該当のソースコード

コントローラー
@PostMapping(value = "/download/csv, params="Btn")
    public ResponseEntity<byte[]> download() throws IOException {
        HttpHeaders headers = new HttpHeaders();
        downloadHelper.addContentDisposition(headers, "サバイブ.csv");
        return new ResponseEntity<>(getCsvText().getBytes("MS932"), headers, HttpStatus.OK);
    }


DownloadHelper

import java.io.UnsupportedEncodingException;
import java.nio.charset.StandardCharsets;
import org.springframework.http.HttpHeaders;
import org.springframework.stereotype.Component;
import org.springframework.web.util.UriUtils;

@Component
public class DownloadHelper {
    private static final String CONTENT_DISPOSITION_FORMAT
         = "attachment; filename=\"%s\"; filename*=UTF-8''%s";
    public void addContentDisposition(HttpHeaders headers, String fileName)
            throws UnsupportedEncodingException {
        String headerValue = String.format(CONTENT_DISPOSITION_FORMAT,
                fileName, UriUtils.encode(fileName, StandardCharsets.UTF_8.name()));
        headers.add(HttpHeaders.CONTENT_DISPOSITION, headerValue);
    }

}

試したこと

サバイブをtestなどアルファベットにすると以前と同じようにダウンロードが始まります。

補足情報（FW/ツールのバージョンなど）

springframeworkは5.3.30
バージョンアップに伴いspring-webは5.2.2→5.3.30に変更になってました。

springbootは2.2.2→2.7.17です。

何か試してみたら良いことや解決策がある方是非ご教授お願いします。

Answer 1

要約: ご質問のコードでの、ファイルダウンロードの際のファイル名の処理は誤っているので、コードを修正すべきです。

The HTTP response header [Content-Disposition] with value [attachment; filename="サバイブ.csv"; filename*=UTF-8''%E3%82%B5%E3%83%90%E3%82%A4%E3%83%96.csv] has been removed from the response because it is invalid

java.lang.IllegalArgumentException: The Unicode character [サ] at code point [12,469] cannot be encoded as it is outside the permitted range of 0 to 255

書いてある通り、ヘッダに使われるバイトのコード値として許される範囲 (0-255) を超えているのでエンコードできません。要は、Unicode文字「サバイブ」をそのまま出力しようとしているので「そんなことはできない」と言っています。そして、エンコードできない内容を含んでいるContent-Dispositionヘッダフィールドを出力から削除したと言っています。このため「Content-Disposition: attachment」の指定がされず、受信側ではファイルダウンロードではなくファイル内容をブラウズする動作をしています。

Springの以前のバージョンでは上のような内容のヘッダフィールドも適当に出力されてしまっていたのかもしれませんが、それはウェブアプリケーションとして正しい動作ではありません。ですからSpringは悪くないです。アプリケーションのコードを直しましょう。

少し説明します。ご質問のコード

    private static final String CONTENT_DISPOSITION_FORMAT
         = "attachment; filename=\"%s\"; filename*=UTF-8''%s";
    public void addContentDisposition(HttpHeaders headers, String fileName)
            throws UnsupportedEncodingException {
        String headerValue = String.format(CONTENT_DISPOSITION_FORMAT,
                fileName, UriUtils.encode(fileName, StandardCharsets.UTF_8.name()));
        headers.add(HttpHeaders.CONTENT_DISPOSITION, headerValue);
    }

この箇所がファイル名をUnicode文字のまま渡している元凶ですね。次のようなフィールドを作成しようとしています。

Content-Disposition: attachment; filename="サバイブ.csv"; filename*=UTF-8''%E3%82%B5%E3%83%90%E3%82%A4%E3%83%96.csv

元々は、Content-DispositionヘッダフィールドのfilenameパラメータをRFC 6266に準拠するようエンコードする意図があったはずです。ところが2015年当時、RFC 6266に非準拠だったユーザエージェントも救うために、filenameフィールドを重複させてエンコードなしとエンコード済みの両方を含めるというバッドノウハウを提案した人がいたようです (「ねぎぶログ: ダウンロードファイル名、文字化けとの格闘」)。これがその後Qiitaで紹介されてQiitaやteratailで無批判にコピペされることが繰り返され、バッドノウハウであるという情報は抜け落ちたまま広まったと考えられます (コピペ例 1 2 3)。

今では事実上全てのユーザエージェントがRFC 6266準拠の動作をするはずですから、今さら10年近く前に提案されたバッドノウハウに頼る必要はないでしょう。素直にRFC 6266通りのエンコードをすればいいです。

@Component
public class DownloadHelper {
    private static final String CONTENT_DISPOSITION_FORMAT
         = "attachment; filename*=UTF-8''%s";
    public void addContentDisposition(HttpHeaders headers, String fileName)
            throws UnsupportedEncodingException {
        String headerValue = String.format(CONTENT_DISPOSITION_FORMAT,
                UriUtils.encode(fileName, StandardCharsets.UTF_8.name()));
        headers.add(HttpHeaders.CONTENT_DISPOSITION, headerValue);
    }
}

次のようなフィールドを作成するようになります。

Content-Disposition: attachment; filename*=UTF-8''%E3%82%B5%E3%83%90%E3%82%A4%E3%83%96.csv

なお、UriUtils.encode()の仕様がよくわからなかったのですが、ファイル名に"が含まれていてもエンコードされなかったりしないでしょうか。もしもそうならReflected file downloadという攻撃への脆弱性につながるため、念のためエンコードした形に置換しています (参考:「Content-Disposition の filename という地雷」(原文))。 考えすぎでした。filename*形式のみ使う場合は問題なさそうなのでこの点は撤回します。ただエンコードが適切かどうかは精査して再度手を加えるかもしれません。

Comments

[poyzoy]

誠にありがとうございます！
私のサーチ力ではとても解決できませんでした。
ikedas様の方法で解決できました。
本当に助かりました。
ありがとうございます😭
また、質問見かけましたら是非お力添えお願いします。