java - lambda 表达式的序列化有哪些安全风险？

Question

刚刚回顾了 Streams 和 Java 8 Lambda 功能，以及对不言自明的 Oracle 文档的最后评论 Lambda Expressions状态:

You can serialize a lambda expression if its target type and its captured arguments are serializable. However, like inner classes, the serialization of lambda expressions is strongly discouraged.

检查这个我发现了 SO 问题

How to serialize a lambda?

OP 正在处理来自客户端代码的序列化 lambda 表达式。

如果我有一个网络服务并且其中一个参数是一个 lambda 表达式，它似乎可能包含恶意代码，可以执行文件系统访问或导致堆栈溢出等操作 - 所以相信它是非常愚蠢的.

我是否过分夸大了安全风险，或者序列化表达式可以包含的内容是否存在限制？

Answer 1

这么说吧:无论如何，Java 对象序列化(在某种程度上)是一场安全噩梦(参见 here 示例)。

换句话说:序列化本身就是一个首先需要深思熟虑的话题。因此，谈论序列化 lambda 或任何其他类型的序列化对象并不重要。

因此，例如，您想确保您理解并支持相应的规则，例如 CERT .