shiro session序列化失败问题

场景

今天一时兴起想要做个在线用户功能,同时支持内存,mysql,redis三库 都能够持久化的功能,没想到被序列化打败了
shiro SessionDao 的session 实现了ValidatingSession接口,当序列化时转变成字符串会导致多出来

“valid”:true

解决方法

存储session字段修改为byte[]
反序列化的代码修改为

                SimpleSession simpleSession = (SimpleSession) SerializationUtils.deserialize(userSession.getSessionStr());
                session = simpleSession;

如果还没解决请看这里

1.首先我们只看序列化session代码

    @Test
    public void testSession() throws UnsupportedEncodingException {
        Session session = new SimpleSession();
        // 序列化为byte数组
        byte[] bytes = SerializationUtils.serialize((Serializable) session);
        System.err.println(new String(bytes)); // ��
        System.err.println(FastJsonUtil.toJSONString(session)); // {"attributeKeys":[],"valid":true}
//        Session session2 = (Session) SerializationUtils.deserialize(bytes);
//        System.err.println(session2);
    }

我们看对应的输出中 明显多了这个属性"valid":true
2.所以解决方式就不能转变成String入手
以下解决方案
1.采用byte[]存储
2.采用流的方式

  • 0
    点赞
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
Shiro (Security Infrastructure for Java) 是一个开源的身份和权限管理框架,它提供了安全的身份验证、授权、会话管理和加密等功能。关于反序列化Deserialization)原理,Shiro 并不是直接处理反序列化的,但其在处理JSON或XML等外部数据格式时,可能会涉及到与序列化相关的安全性考虑。 当Shiro从存储(如数据库或配置文件)加载配置信息时,这些信息通常是以字符串形式表示的,然后需要转换为Java对象。这个过程涉及到了反序列化。在反序列化过程中,如果输入的数据不正确或者恶意构造,可能会触发安全漏洞,比如`序列化攻击`(也称为`Deserialization of Untrusted Data`),攻击者可能会利用这种漏洞执行任意代码。 Shiro通过以下机制来提高反序列化安全性: 1. **安全的反序列化库**:Shiro使用了像Jackson、Gson这样的库来进行JSON解析,这些库提供了一些选项来限制对反序列化的控制,例如`@JsonAutoDetect`注解可以防止默认字段被反序列化。 2. **白名单和黑名单**:可以配置只允许特定类型或特定构造方法的序列化,避免不受信任的数据结构。 3. **检查输入**:在某些情况下,Shiro可能对反序列化后的数据进行一些检查,确保它们符合预期的安全格式。 4. **配置保护**:Shiro允许开发者禁用自动反序列化,或者仅在受信任的环境中启用。 **相关问题--:** 1. Shiro如何避免序列化攻击? 2. 如何在Shiro中启用对反序列化的安全控制? 3. Shiro如何配合Jackson或其他库来确保反序列化安全?

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值