Java Jackson json 对象反序列化。如何处理 OWASP 不安全的反序列化？

Question

OWASP insecure Deserialization威胁是一个众所周知的威胁。我的问题是，当我们在 Java 部分使用 Jackson 等解析器库时，如何减轻这种威胁？

使用 Hibernate 验证或 Java 验证是否可以解决问题？或者是否存在任何特殊或更好的技术来缓解此问题？

Answer 1

首先，整个反序列化是关于 Java 对象的反序列化。这与 XML 解编码或读取 JSON 无关。还有其他漏洞类别可以解决这些问题。

假设您的代码接受一个 Java 类作为输入(可以采用 Bas64 编码并通过 REST 端点提供)。为什么有人会那样做？好吧，如果您想远程存储状态，那么您可以序列化 Java 类，发送它并在需要时接收它。没有意义？嗯，Jenkins did it anyway a while ago .

真正的问题不是反序列化，而是在反序列化过程中防止代码执行。如何防止 readObject() 被调用？它将被自动调用。防止在 Java 代码深处发生某些事情是一件痛苦的事情。

您可以尝试使用 notsoserial或 SerialKiller ，但它不会使您的代码更简单和更易于阅读。实际可行的一件事是不在代码中的任何位置使用不受信任对象的反序列化。