概述
Serializable 的类的固有序列化方法包括 readObject, writeObject。
Serializable 的类的固有序列化方法,还包括 readResolve, writeReplace。
它们是为了单例 (singleton) 类而专门设计的。
根据权限最小化原则,一般情况下这些方法必须被声明为 private void。否则如果 Serializable的类开放 writeObject 函数为 public 的话,给非受信调用者过高权限,潜在有风险。有些情况下,比如 Serializable 的类是 Extendable, 被子类继承了,为了确保子类也能访问方法,那么这些方法必须被声明为 protected,而不是 private。
审计策略
人工搜索文本
public * writeObject
public * readObject
public * readResolve
public * writeReplace
修复方案
视情况根据上下文而定,变成私有类或者保护类,比如修改为
private void writeObject
private void readObject
protected Object readResolve
protected Object writeReplace