如何在Java中防止序列化漏洞_ObjectInputStream安全校验与白名单-java教程-PHP中文网

默认 objectinputstream 危险因不校验类名，攻击者可触发任意类的 readobject；jdk9+ 需显式设 objectinputfilter 白名单，或继承重写 resolveclass 动态校验。

如何在java中防止序列化漏洞_objectinputstream安全校验与白名单

为什么默认的 `ObjectInputStream` 是危险的

Java 原生序列化机制不校验类名，攻击者只要能控制输入流（比如反序列化网络请求、文件、缓存数据），就能触发任意类的 readObject 方法——包括恶意构造的 gadget 链。JDK 9+ 虽加了 ObjectInputFilter，但默认是 null，等同于放行一切。

用 `ObjectInputFilter` 设置白名单最直接

核心是给 ObjectInputStream 实例绑定一个过滤器，它会在反序列化每个类前检查是否允许加载。不是“黑名单拦截已知危险类”，而是“只允许明确列出的类”。

必须在构造 ObjectInputStream 后、调用 readObject() 前设置，晚了无效
推荐用静态工厂方法 ObjectInputFilter.Config.createFilter() 构建，支持通配符和长度限制
过滤规则示例：com.example.model.*;!*;maxarray=100000 表示只允许 com.example.model 下的类，其余全拒，数组长度上限 10 万
注意：通配符 * 不匹配嵌套包，com.example.** 才包含子包；! 开头的规则优先级更高

ObjectInputStream ois = new ObjectInputStream(inputStream);
ois.setObjectInputFilter(ObjectInputFilter.Config.createFilter(
    "com.myapp.dto.*;maxdepth=5;maxrefs=100"
));

继承 `ObjectInputStream` 自定义校验更可控

当需要动态判断（比如按租户隔离类路径）、或 JDK 版本低于 9 时，重写 resolveClass 是唯一可靠方式。

Java Maven Common

Java Maven 项目审查工作流的通用输入处理。当 Java Maven 项目以 ZIP压缩包或 GitLab 仓库 URL 形式提供且需要...时使用。

下载

必须重写 resolveClass(ObjectStreamClass)，不能只靠 readObject 前校验——因为类加载发生在该方法内
从 ObjectStreamClass 中取类名用 desc.getName()，别用 forName() 触发加载
白名单建议存在 Set<string></string> 中，用 contains() 判断，避免正则性能抖动
遇到非法类名，抛 ClassNotFoundException（不是 InvalidClassException），否则可能被绕过

class SafeObjectInputStream extends ObjectInputStream {
    private static final Set<string> ALLOWED_CLASSES = Set.of(
        "com.myapp.User", "com.myapp.Order"
    );
    SafeObjectInputStream(InputStream in) throws IOException { super(in); }
    protected Class> resolveClass(ObjectStreamClass desc) 
            throws IOException, ClassNotFoundException {
        if (!ALLOWED_CLASSES.contains(desc.getName())) {
            throw new ClassNotFoundException("Blocked: " + desc.getName());
        }
        return super.resolveClass(desc);
    }
}</string>

Spring、Jackson 这些框架也逃不开序列化风险

很多人以为用了 Spring Boot 就安全了——错。Spring 的 HttpMessageConverter（如 MappingJackson2HttpMessageConverter）默认不启用反序列化防护；而 ObjectInputStream 直接暴露在 RedisTemplate 或 RmiClientSocketFactory 等底层组件中。

Spring Boot 2.6+ 默认禁用 Jackson 的 DefaultTyping，但若手动开启（比如配置 enableDefaultTyping()），且没设白名单，照样中招
Redis 存 Java 对象时若用 JdkSerializationRedisSerializer，就等于把 ObjectInputStream 暴露给 Redis 数据——务必换为 GenericJackson2JsonRedisSerializer
所有接收二进制流并调用 readObject() 的地方，都要人工审计：RPC 接口、日志回放、测试 mock 数据、旧系统迁移脚本

白名单不是加个配置就完事。类名拼写错误、包路径变更、第三方库升级引入新 gadget 类，都会让防护失效。真正难的是持续维护那份允许列表——它得跟代码发布节奏同步更新，而不是写死在 config 文件里。