Java中 ObjectInputStream 怎么实现只读反序列化白名单 ClassFilter-java教程-PHP中文网

java自9起引入objectinputfilter白名单机制防范反序列化风险，推荐用config.createfilter设置严格类匹配规则，支持jvm参数全局兜底，需注意内部类命名、第三方库显式授权及禁用enableresolveobject。

java中 objectinputstream 怎么实现只读反序列化白名单 classfilter

Java 中 ObjectInputStream 默认允许反序列化任意类，存在严重安全风险（如远程代码执行）。自 Java 9 起引入了 ObjectInputFilter 机制，Java 17 进一步强化为默认启用的白名单控制。实现“只读反序列化白名单”核心是设置严格、可维护的类过滤器。

使用 ObjectInputFilter 设置白名单

从 Java 9 开始，可通过 ObjectInputStream.setObjectInputFilter() 设置过滤器。推荐在构造后立即设置，避免被绕过：

过滤器必须在调用 readObject() 前设置，且不可更改
推荐使用静态工厂方法 ObjectInputFilter.Config.createFilter(String pattern) 构建白名单规则
模式语法支持 maxdepth、maxarray、maxrefs 等限制，但白名单关键靠 module/classname 匹配

示例：只允许反序列化 java.lang.String 和自定义包下的类：

ObjectInputStream ois = new ObjectInputStream(inputStream);
ois.setObjectInputFilter(ObjectInputFilter.Config.createFilter(
    "java.lang.String;com.example.model.*;maxdepth=5;maxarray=10000"));

自定义 ObjectInputFilter 实现精细控制

当内置模式语法无法满足需求（如需运行时校验、日志审计、动态白名单），可实现 ObjectInputFilter 接口：

Java Maven Code Review

审查Java Maven项目（ZIP压缩包或GitLab仓库URL），检查代码规范、命名、模块边界、可维护性问题以及重复代码。

下载

checkInput(FilterInfo info) 返回 ALLOWED、REJECTED 或 UNDECIDED
info.serialClass() 获取待反序列化的类，可结合类名、包名、是否为 record、是否含危险方法等判断
建议缓存已验证类，避免重复反射开销；对 null 类或未授权类直接返回 REJECTED

示例片段：

ObjectInputFilter filter = info -> {
    Class> clazz = info.serialClass();
    if (clazz == null) return ObjectInputFilter.Status.REJECTED;
    String name = clazz.getName();
    if (name.startsWith("java.lang.") || 
        name.startsWith("com.example.dto.")) {
        return ObjectInputFilter.Status.ALLOWED;
    }
    return ObjectInputFilter.Status.REJECTED;
};
ois.setObjectInputFilter(filter);