java - 如何在java中忽略 'java.io.serialization'记录器

Question

修复影响 1.8.0_121 之前的 JRE 版本的安全漏洞 CVE-2017-3241(Java RMI Registry.bind() 未经验证的反序列化)。除了使用 JRE 1.8.0_121 之外，我们还在 java.security 文件中添加了以下代码行。

jdk.serialFilter=*
sun.rmi.registry.registryFilter=*

sun.rmi.transport.dgcFilter=\
    java.rmi.server.ObjID;\
    java.rmi.server.UID;\
    java.rmi.dgc.VMID;\
    java.rmi.dgc.Lease;\          maxdepth=2147483647;maxarray=2147483647;maxrefs=2147483647;maxbytes=2147483647

一旦我们添加了这些行，那么无论何时进行任何 RMI 调用，我们都会得到以下行。

Feb 13, 2017 1:00:53 AM sun.misc.ObjectInputFilter$Config lambda$static$0
INFO: Creating serialization filter from *

我们想隐藏这些信息，有人可以为此提出任何解决方案吗？

Answer 1

我使用 -Djdk.serialFilter=maxbytes=10000;!org.* 作为 JVM 参数，没有看到任何日志信息。