如何使用问号或反斜杠触发400错误请求

Question

requestPathInvalidCharacters指定无效字符列表，这将触发400 Bad Request响应。默认情况下，该列表包含："<,>,*,%,&,:,\\,?"。这包括问号和反斜杠。但据我所见，这两个角色永远不会被视为无效。

第一个问号后面的每个URL字符都将用在查询字符串中。所以像/path?foo?bar这样的URL被认为是有效的。在这个例子中，查询字符串由单个无钥匙值foo?bar组成。即使/?????是有效的网址。

反斜杠自动转换为正斜杠，所以我不明白这些可能被认为是无效的。

Answer 1

只是%会触发错误。例如。 GET /% HTTP/1.1，因为这是一个不完整的请求。

例如： https://*.com/%

一些其他字符也引发400个回应，但您的浏览器会自动转换它们。概念验证：

% curl -i 'http://*.com/<' 
HTTP/1.1 400 Bad Request