Create infrastructure for XSS sanitization

James Moger

2014-09-06 fc3a39d464b1303f0b7d01d0160f81cbbb80a98b

 src/main/java/com/gitblit/manager/GitblitManager.java

@@ -27,6 +27,7 @@
import java.util.Collection;
import java.util.Date;
import java.util.List;
import java.util.Locale;
import java.util.Map;
import java.util.TimeZone;

@@ -41,6 +42,10 @@
import org.eclipse.jgit.transport.RefSpec;
import org.slf4j.Logger;
import org.slf4j.LoggerFactory;

import ro.fortsoft.pf4j.PluginState;
import ro.fortsoft.pf4j.PluginWrapper;
import ro.fortsoft.pf4j.Version;

import com.gitblit.Constants;
import com.gitblit.Constants.AccessPermission;
@@ -57,6 +62,9 @@
import com.gitblit.models.GitClientApplication;
import com.gitblit.models.Mailing;
import com.gitblit.models.Metric;
import com.gitblit.models.PluginRegistry.InstallState;
import com.gitblit.models.PluginRegistry.PluginRegistration;
import com.gitblit.models.PluginRegistry.PluginRelease;
import com.gitblit.models.ProjectModel;
import com.gitblit.models.RegistrantAccessPermission;
import com.gitblit.models.RepositoryModel;
@@ -68,8 +76,10 @@
import com.gitblit.models.TeamModel;
import com.gitblit.models.UserModel;
import com.gitblit.tickets.ITicketService;
import com.gitblit.transport.ssh.SshSession;
import com.gitblit.transport.ssh.IPublicKeyManager;
import com.gitblit.transport.ssh.SshKey;
import com.gitblit.utils.ArrayUtils;
import com.gitblit.utils.XssFilter;
import com.gitblit.utils.HttpUtils;
import com.gitblit.utils.JsonUtils;
import com.gitblit.utils.ObjectCache;
@@ -101,11 +111,15 @@

   protected final IRuntimeManager runtimeManager;

   protected final IPluginManager pluginManager;

   protected final INotificationManager notificationManager;

   protected final IUserManager userManager;

   protected final IAuthenticationManager authenticationManager;

   protected final IPublicKeyManager publicKeyManager;

   protected final IRepositoryManager repositoryManager;

@@ -115,18 +129,22 @@

   public GitblitManager(
         IRuntimeManager runtimeManager,
         IPluginManager pluginManager,
         INotificationManager notificationManager,
         IUserManager userManager,
         IAuthenticationManager authenticationManager,
         IPublicKeyManager publicKeyManager,
         IRepositoryManager repositoryManager,
         IProjectManager projectManager,
         IFederationManager federationManager) {

      this.settings = runtimeManager.getSettings();
      this.runtimeManager = runtimeManager;
      this.pluginManager = pluginManager;
      this.notificationManager = notificationManager;
      this.userManager = userManager;
      this.authenticationManager = authenticationManager;
      this.publicKeyManager = publicKeyManager;
      this.repositoryManager = repositoryManager;
      this.projectManager = projectManager;
      this.federationManager = federationManager;
@@ -199,6 +217,13 @@
      RepositoryModel cloneModel = repository.cloneAs(cloneName);
      // owner has REWIND/RW+ permissions
      cloneModel.addOwner(user.username);

      // ensure initial access restriction of the fork
      // is not lower than the source repository  (issue-495/ticket-167)
      if (repository.accessRestriction.exceeds(cloneModel.accessRestriction)) {
         cloneModel.accessRestriction = repository.accessRestriction;
      }

      repositoryManager.updateRepositoryModel(cloneName, cloneModel, false);

      // add the owner of the source repository to the clone's access list
@@ -323,6 +348,9 @@
               repositoryManager.updateRepositoryModel(model.name, model, false);
            }
         }

         // rename the user's ssh public keystore
         getPublicKeyManager().renameUser(username, user.username);
      }
      if (!userManager.updateUserModel(username, user)) {
         throw new GitBlitException("Failed to update user!");
@@ -422,7 +450,7 @@
      // no user definitions, use system definitions
      if (!clientApplications.hasCurrent("system", new Date(0))) {
         try {
            InputStream is = getClass().getResourceAsStream("/clientapps.json");
            InputStream is = GitblitManager.class.getResourceAsStream("/clientapps.json");
            Collection<GitClientApplication> clients = readClientApplications(is);
            is.close();
            if (clients != null) {
@@ -464,7 +492,7 @@
         // Read bundled Gitblit properties to extract setting descriptions.
         // This copy is pristine and only used for populating the setting
         // models map.
         InputStream is = getClass().getResourceAsStream("/reference.properties");
         InputStream is = GitblitManager.class.getResourceAsStream("/reference.properties");
         BufferedReader propertiesReader = new BufferedReader(new InputStreamReader(is));
         StringBuilder description = new StringBuilder();
         SettingModel setting = new SettingModel();
@@ -524,6 +552,11 @@
      throw new RuntimeException("This class does not have a ticket service!");
   }

   @Override
   public IPublicKeyManager getPublicKeyManager() {
      return publicKeyManager;
   }

   /*
    * ISTOREDSETTINGS
    *
@@ -577,8 +610,28 @@
   }

   @Override
   public boolean isServingHTTP() {
      return runtimeManager.isServingHTTP();
   }

   @Override
   public boolean isServingGIT() {
      return runtimeManager.isServingGIT();
   }

   @Override
   public boolean isServingSSH() {
      return runtimeManager.isServingSSH();
   }

   @Override
   public TimeZone getTimezone() {
      return runtimeManager.getTimezone();
   }

   @Override
   public Locale getLocale() {
      return runtimeManager.getLocale();
   }

   @Override
@@ -611,9 +664,19 @@
      return runtimeManager.getStatus();
   }

   @Override
   public XssFilter getXssFilter() {
      return runtimeManager.getXssFilter();
   }

   /*
    * NOTIFICATION MANAGER
    */

   @Override
   public boolean isSendingMail() {
      return notificationManager.isSendingMail();
   }

   @Override
   public void sendMailToAdministrators(String subject, String message) {
@@ -652,12 +715,12 @@
      }
      return user;
   }
	

   @Override
   public UserModel authenticate(SshSession sshSession) {
      return authenticationManager.authenticate(sshSession);
   public UserModel authenticate(String username, SshKey key) {
      return authenticationManager.authenticate(username, key);
   }
	

   @Override
   public UserModel authenticate(HttpServletRequest httpRequest, boolean requiresCertificate) {
      UserModel user = authenticationManager.authenticate(httpRequest, requiresCertificate);
@@ -899,6 +962,11 @@
   }

   @Override
   public void resetRepositoryCache(String repositoryName) {
      repositoryManager.resetRepositoryCache(repositoryName);
   }

   @Override
   public List<String> getRepositoryList() {
      return repositoryManager.getRepositoryList();
   }
@@ -977,6 +1045,11 @@
   @Override
   public void updateConfiguration(Repository r, RepositoryModel repository) {
      repositoryManager.updateConfiguration(r, repository);
   }

   @Override
   public boolean canDelete(RepositoryModel model) {
      return repositoryManager.canDelete(model);
   }

   @Override
@@ -1161,4 +1234,108 @@
   public boolean isIdle(Repository repository) {
      return repositoryManager.isIdle(repository);
   }

   /*
    * PLUGIN MANAGER
    */

   @Override
   public Version getSystemVersion() {
      return pluginManager.getSystemVersion();
   }

   @Override
   public void startPlugins() {
      pluginManager.startPlugins();
   }

   @Override
   public void stopPlugins() {
      pluginManager.stopPlugins();
   }

   @Override
   public List<PluginWrapper> getPlugins() {
      return pluginManager.getPlugins();
   }

   @Override
   public PluginWrapper getPlugin(String pluginId) {
      return pluginManager.getPlugin(pluginId);
   }

   @Override
   public List<Class<?>> getExtensionClasses(String pluginId) {
      return pluginManager.getExtensionClasses(pluginId);
   }

   @Override
   public <T> List<T> getExtensions(Class<T> clazz) {
      return pluginManager.getExtensions(clazz);
   }

   @Override
   public PluginWrapper whichPlugin(Class<?> clazz) {
      return pluginManager.whichPlugin(clazz);
   }

   @Override
   public PluginState startPlugin(String pluginId) {
      return pluginManager.startPlugin(pluginId);
   }

   @Override
   public PluginState stopPlugin(String pluginId) {
      return pluginManager.stopPlugin(pluginId);
   }

   @Override
   public boolean disablePlugin(String pluginId) {
      return pluginManager.disablePlugin(pluginId);
   }

   @Override
   public boolean enablePlugin(String pluginId) {
      return pluginManager.enablePlugin(pluginId);
   }

   @Override
   public boolean uninstallPlugin(String pluginId) {
      return pluginManager.uninstallPlugin(pluginId);
   }

   @Override
   public boolean refreshRegistry(boolean verifyChecksum) {
      return pluginManager.refreshRegistry(verifyChecksum);
   }

   @Override
   public boolean installPlugin(String url, boolean verifyChecksum) throws IOException {
      return pluginManager.installPlugin(url, verifyChecksum);
   }

   @Override
   public boolean upgradePlugin(String pluginId, String url, boolean verifyChecksum) throws IOException {
      return pluginManager.upgradePlugin(pluginId, url, verifyChecksum);
   }

   @Override
   public List<PluginRegistration> getRegisteredPlugins() {
      return pluginManager.getRegisteredPlugins();
   }

   @Override
   public List<PluginRegistration> getRegisteredPlugins(InstallState state) {
      return pluginManager.getRegisteredPlugins(state);
   }

   @Override
   public PluginRegistration lookupPlugin(String pluginId) {
      return pluginManager.lookupPlugin(pluginId);
   }

   @Override
   public PluginRelease lookupRelease(String pluginId, String version) {
      return pluginManager.lookupRelease(pluginId, version);
   }
}