Java中 ObjectInputStream 怎么通过 resolveClass 防范反序列化漏洞-java教程-PHP中文网

resolveclass 是最底层、最可靠的反序列化防护手段，因其在类加载前拦截非法类名，不依赖 jvm 版本且不受 gadget 链绕过影响；需严格满足白名单精确匹配、拒绝非常规类名、异常处理严格三项要求。

java中 objectinputstream 怎么通过 resolveclass 防范反序列化漏洞

直接重写 resolveClass 是最底层、最可靠的防范手段——它在类加载前就拦截非法类名，不依赖 JVM 版本，也不怕 gadget 链绕过。

为什么 resolveClass 是关键拦截点

ObjectInputStream 每读到一个类描述符，就会调用 resolveClass() 去加载对应 Class。这个方法默认用上下文类加载器，但允许子类覆盖。只要你控制了 ObjectInputStream 实例的创建，攻击者就无法跳过你写的校验逻辑。

它发生在反序列化流程最早期，早于字段还原、readObject() 执行、甚至早于 gadget 链触发
不走 JVM 全局过滤器（如 jdk.serialFilter），不受其绕过缺陷影响
适用于 Java 7 及以上所有版本，老系统也能用

安全重写的三个硬性要求

只满足其中一两项，仍可能被绕过。必须全部做到：

js2java

JavaScript 到 Java 全栈翻译助手，专为前端开发者学习 Java 或快速实现后端业务逻辑而设计。当用户提到以下场景时必须使用此技能： - "帮我把这段 JS 代码转成 Java" - "用 Java 怎么写这个逻辑" - "我习惯用 JS 写，想翻译成 Java" - "教我 Java，我要写后端接...

下载

白名单精确匹配：只放行明确信任的包路径，例如 com.myapp.dto.、java.lang.；禁用通配符模糊匹配（如 com.*）
拒绝非常规类名：空字符串、数组类型（[Ljava.lang.String;）、内部类（com.example.Foo$1）、匿名类、以危险前缀开头的类（如 org.apache.commons.collections、groovy.）
异常处理严格：非法类必须抛 ClassNotFoundException 或 InvalidClassException；不能静默 fallback 到父类逻辑，否则等于没拦

典型安全实现写法

以下代码可直接嵌入业务，无需额外依赖：

（注意：不要用 Class.forName()，避免提前触发类加载；用 super.resolveClass(desc) 委托给父类完成真实加载）

ObjectInputStream ois = new ObjectInputStream(inputStream) {
    @Override
    protected Class> resolveClass(ObjectStreamClass desc) 
            throws IOException, ClassNotFoundException {
        String name = desc.getName();
        
        // 拒绝非法类名
        if (name == null || name.isEmpty() || 
            name.startsWith("[") || name.contains("$") ||
            name.startsWith("org.apache.commons.collections") ||
            name.startsWith("groovy.") || 
            name.startsWith("com.sun.rowset")) {
            throw new InvalidClassException("Blocked class: " + name);
        }
        
        // 白名单校验（精确前缀）
        if (name.startsWith("com.myapp.dto.") || 
            name.startsWith("java.lang.") || 
            name.startsWith("java.util.")) {
            return super.resolveClass(desc);
        }
        
        throw new InvalidClassException("Unauthorized class: " + name);
    }
};