java - XStream 的安全框架未初始化，XStream 可能存在漏洞

Question

XStream的安全框架未初始化，XStream可能存在漏洞

在使用 XStream (1.4.10) 时，此控制台错误一直显示为红色

我尝试了以下方法:

XStream.setupDefaultSecurity(xs);

和

xs.addPermission(AnyTypePermission.ANY);xs.addPermission(NoTypePermission.NONE);

没有一个能摆脱它。

我不需要任何花哨的安全设置，我只想让该警告静音。或许还要为 1.5.x 准备代码

Answer 1

在处理安全问题时，我不会掉以轻心。首先要了解问题的严重性，这里是 good write up或 another one .

然后了解人们如何推荐解决方案。最好的起点是 xstream 网站本身。在 xstream security page 上有一个示例，您可以将其用作起点。 .

这将是我的设置，它基本上允许您的大部分代码。

XStream xstream = new XStream();
// clear out existing permissions and set own ones
xstream.addPermission(NoTypePermission.NONE);
// allow some basics
xstream.addPermission(NullPermission.NULL);
xstream.addPermission(PrimitiveTypePermission.PRIMITIVES);
xstream.allowTypeHierarchy(Collection.class);
// allow any type from the same package
xstream.allowTypesByWildcard(new String[] {
    "com.your.package.**"
});

但是，在深入研究他们的源代码之后，这是我的看法:

XStream.setupDefaultSecurity(this); // to be removed after 1.5
xstream.allowTypesByWildcard(new String[] {
    "com.your.package.**"
});

所以本质上，升级到 1.5 后您只需要一行代码。

请注意，您可能需要更多通配符来适应您的应用程序反序列化场景。这不是一个万能的答案，而是一个很好的起点恕我直言。