Shiro默认session SimpleSession反序列化错误

最新推荐文章于 2024-07-20 20:04:43 发布
最新推荐文章于 2024-07-20 20:04:43 发布
阅读量3.2k 收藏
点赞数
文章标签： 数据库 java json
原文链接：https://my.oschina.net/diagram/blog/1593669
版权

问题：项目整合Shiro，使用redis做cacheManger和sessionManager，使用过程中报SimpleSession反序列化错误，SimpleSession虽然没有实现Serializable接口，但可以通过writeObject(ObjectOutputStream out) 方法进行序列化。查看Redis中SimpleSession的值，发下多了“valid"、”stoped“等几个SimpleSession中没有的属性。

原因：未分析，应该是Jackson2JsonRedisSerializer有Bug

解决方案：将原Redis序列化工具 Jackson2JsonRedisSerializer 更改为 StringRedisTemplate

转载于:https://my.oschina.net/diagram/blog/1593669

chuihuitiao5256
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
shiro session 放入到 redis 中不被序列化以及 SimpleSession 的 transient 属性序列化方式踩到的坑
weixin_41069382的博客
06-16 5057
1、先来说一下 shiro session 序列化到 redis 中的过程 shiro session 放入到 redis 中的 过程（序列化过程）：1、将 shiro 的 SimpleSession 通过 RedisTemple 模板，有两种方案，即 Jackson 和 fastJson ，都是将 Java对象 打成 json，在转成 buty[] 。补充：在将 Java 对象 打成 ...
shiro的session信息放redis反序列化异常解决
weixin_48352162的博客
06-26 1444
背景 在本地session移至redis存储时，原本以为引入spring-session-data-redis依赖，配置RedisHttpSessionConfiguration，在web.xml中引入springSessionRepositoryFilter就结束了，没想到遇到序列化相关的问题，具体就是只有getter，没有setter。日志如下： 26-Jun-2021 15:53:16.432 涓ラ噸 [http-nio-8081-exec-6] org.apache.catalina.core.St
Spring Boot分布式系统实践【扩展1】shiro+redis实现session共享、simplesession反序列化失败的问题定位及反思改进...
dbqg57671的博客
03-18 859
前言 调试之前请先关闭Favicon配置 spring: favicon: enabled: false 不然会发现有2个请求（如果用nginx+ 浏览器调试的话） 序列化工具类【fastjson版本1.2.37】 ```public class FastJson2JsonRedisSerializer implements RedisSerializer { ...
shiro session序列化失败问题
xmind果果
03-13 3810
场景 今天一时兴起想要做个在线用户功能，同时支持内存，mysql，redis三库 都能够持久化的功能，没想到被序列化打败了 shiro SessionDao 的session 实现了ValidatingSession接口，当序列化时转变成字符串会导致多出来 “valid”:true 解决方法 存储session字段修改为byte[] 反序列化的代码修改为 Si...
shiro反序列化漏洞
wutiangui的博客
09-07 1970
序列化就是把对象转换成字节流，便于保存在内存、文件、数据库中,保证对象的完整性和可传递性；反序列化即逆过程，由字节流还原成对象。根据字节流中保存的对象状态及描述信息，通过反序列化重建对象。Apache Shiro是一个强大且易用的Java安全框架，执行身份验证、授权、密码和会话管理。使用Shiro的易于理解的API，可以快速、轻松地获得任何应用程序,从最小的移动应用程序到最大的网络和企业应用程序。漏洞影响版本。
Apache Shiro反序列化漏洞研究及解决方法
热门推荐
技术点滴
04-02 1万+
前言 一个阳光明媚的午休，我正惬意的喝着茶听着音乐，享受美好生活的时候，客户的QQ头像闪动了，原以为是出了什么新需求临时需要调整，没想到客户反馈的是平台出现了严重漏洞，不敢小视，抄起电脑开弄 我根据客户给出的安全厂商反馈的问题，总结如下： 1，Shiro反序列化漏洞 2，提到了dnslog.cn平台 了解Shiro反序列化漏洞 参考官方的JIRA文档记录，https://issues....
shiro 采用redis共享session，出现反序列化错误的排查过程
ght521的专栏
03-30 598
有关jfinal shiro 共享session反序列化
shiro反序列化工具，加强版
12-27
在"shiro反序列化工具，加强版"这个主题中，我们主要关注的是Shiro框架中可能存在的反序列化漏洞以及如何利用和防范这些漏洞。 反序列化漏洞是由于程序在接收到网络传输的数据后，将其从二进制流恢复为对象时没有...
shiro反序列化脚本.zip
07-28
标题 "shiro反序列化脚本.zip" 指向的是一个与Apache Shiro安全框架相关的反序列化漏洞利用工具。Apache Shiro是一款广泛使用的Java安全框架，它提供了身份验证、授权、会话管理和加密等功能。然而，在某些版本中，...
shiro反序列化复现.zip
08-03
"shiro反序列化复现.zip"这个压缩包很可能是为了帮助开发者或者安全研究人员理解并重现Apache Shiro中的反序列化漏洞。 反序列化漏洞通常发生在程序接收来自不可信源的序列化对象时，如果这个对象包含了恶意构造的...
ShiroExp-1.3.1-all.jar shiro反序列化检测工具
01-12
ShiroExp-1.3.1-all.jar shiro反序列化检测工具 我这里是用于搭建攻防演练演示环境用
反序列化利用工具ShiroExploit.V2.51.7z
08-31
ShiroExploit.V2.51通过模拟恶意的序列化数据，可以帮助安全研究人员检测Shiro应用是否存在反序列化漏洞，同时也可能被恶意攻击者用于实际攻击。 该工具的工作流程大致如下： 1. 分析目标Shiro版本的反序列化入口点...
序列化的几种方式
zhangxiaomin1992的专栏
05-04 993
反序列化工具类
shiro继承redis序列化失败-----坑
喝醉的咕咕鸟
12-05 8986
shiro继承redis进行session的管理： package com.maobc.common.core.redis; import lombok.Data; import org.slf4j.Logger; import org.slf4j.LoggerFactory; import org.springframework.beans.factory.annotation.Value...
第六章：Shiro的Session管理
逸轩
04-09 2980
概述和配置使用 n概述   Shiro提供安全框架界独一无二的东西：一个完整的企业级Session 解决方案，可以为任意的应用提供session支持，包括web和非web应用，并且无需部署你的应用程序到Web 容器或使用EJB容器。 n基本使用   可以通过与当前执行的Subject 交互来获取Session：   Subject currentUser = Secu
吃透Shiro源码9----SimpleSession
大宇的博客，欢迎访问
01-09 795
文章目录技术手法（1）SimpleSession 技术手法 （1）SimpleSession public class SimpleSession implements ValidatingSession, Serializable { private Serializable id; private Date startTimestamp; private Date l...
SSM与Shiro、Redis集成实现分布式session管理（二）—— shiro配置
money9sun的博客
01-23 2502
        上一篇已经将环境搭建完毕，现在配置shiro的相关         新建自己的realm public class MyRealm extends AuthorizingRealm { @Autowired private UsersService usersService; @Override protected Authorizatio...
session中Integer cannot be cast to java.lang.String
玛尼的博客
04-12 1812
<% if(session.getAttribute("isLogin")==null){ %> window.alert('你还未登陆，请先登录!'); <% account.close(); response.setHeader("Refresh", "0.5;url=index.jsp"); } else{ request.setCharacterEncoding("ut
OAuth2.0 or Spring Session or 单点登录流程
最新发布
qq_53374893的博客
07-20 254
一句话精辟解释： 在过滤器放行的时候，偷偷的把原生的 request 和 response 对象换成了它的实现，也就是 调用getSession 的时候拿到的 其实是对redis 操作的Session。但其他的操作还是使用原生的，只不过重写的方法，调用的是子类的，也就是往 redis 里放入 Session，把原生的操作给替换了！分布式Session原理，使用子域名，的时候放入父域名的 JsessionId 然后将这个ID 的所存的内容放入Redis ，这样实现不同域名共享同一sessionID.
shiro反序列化原理
06-25
1. **安全的反序列化库**：Shiro使用了像Jackson、Gson这样的库来进行JSON解析，这些库提供了一些选项来限制对反序列化的控制，例如`@JsonAutoDetect`注解可以防止默认字段被反序列化。 2. **白名单和黑名单**：...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值