java - GSON 漏洞或利用反序列化来避免

Question

我打算使用 gson 的 fromJson() 方法来解析来自浏览器的字符串。这样做是否存在任何潜在的漏洞？我要转换的数据类型比较简单，一个 List 和一个 boolean。但是gson使用了反射，有什么需要注意的地方吗？

例如，对于较旧的 jvm(6.24 之前的版本)，可以对整数使用 DOS 攻击，这样整数解析器就会挂起。

一些聪明的 json 可以让 gson 开始加载它应该加载的类吗？

Answer 1

使用 Gson 时要注意的是您使用的是哪种类型的构建器(请参阅自定义反序列化器/序列化器)

Gson 还有另一个弱点，当你反序列化时，(假设使用自定义的)你最好检查你传递的对象的类型(使用 instanceof)。

其他要点:Gson会根据传入的类型自动转换变量。

即。 { “var1”:1，“var2”:“1”}第一个将转换为整数，第二个将转换为字符串，因此我会注意您的对象转换。