shiro反序列化漏洞解决方案总结

shiro反序列化漏洞解决方案总结

1.确定自己使用的shiro版本要高于1.2.4；
2.在代码中全局搜索 "setCipherKey(Base64.decode(" 关键字，或者"setCipherKey"方法，Base64.decode()中的字符串就是shiro的密钥，要确保该密钥的安全性，千万不要使用公开的密钥。

示例2中：xxxx是网上公开的秘钥，可以修改为自己项目专属的秘钥。
<!-- rememberMe管理器 -->
    <bean id="rememberMeManager" class="org.apache.shiro.web.mgt.CookieRememberMeManager">
        <!-- rememberMe cookie加密的密钥 建议每个项目都不一样 默认AES算法 密钥长度（128 256 512 位）-->
        <property name="cipherKey"
                  value="#{T(org.apache.shiro.codec.Base64).decode('xxxxxx')}"/>
        <property name="cookie" ref="rememberMeCookie"/>
    </bean>