[JAVA安全]JACKSON反序列化

最新推荐文章于 2024-09-30 15:31:49 发布

snowlyzz

最新推荐文章于 2024-09-30 15:31:49 发布

阅读量2k

点赞数 1

分类专栏： JAVA安全文章标签： java servlet 开发语言

本文链接：https://blog.csdn.net/snowlyzz/article/details/128738663

版权

本文详细介绍了JACKSON反序列化的过程，包括DefaultTyping的四个选项，以及@JsonTypeInfo注解的五种模式。通过示例展示了如何在反序列化时指定类信息，并分析了反序列化漏洞的原理。最后，提出了触发反序列化漏洞的条件，强调了安全风险。

摘要由CSDN通过智能技术生成

前言

ackson是一个开源的Java序列化和反序列化工具，可以将Java对象序列化为XML或JSON格式的字符串，以及将XML或JSON格式的字符串反序列化为Java对象。

依赖

<dependency>
    <groupId>com.fasterxml.jackson.core</groupId>
    <artifactId>jackson-databind</artifactId>
    <version>2.7.9</version>
</dependency>
<dependency>
    <groupId>com.fasterxml.jackson.core</groupId>
    <artifactId>jackson-core</artifactId>
    <version>2.7.9</version>
</dependency>
<dependency>
    <groupId>com.fasterxml.jackson.core</groupId>
    <artifactId>jackson-annotations</artifactId>
    <version>2.7.9</version>
</dependency>

JACKSON序列化与反序列化

Jackson提供了ObjectMapper.writeValueAsString()和ObjectMapper.readValue()两个方法来实现序列化和反序列化的功能，不难看出 write就是序列化，而read 就是反序列化。

demo

package JACKSON;


public class User {
    private String username;
    private String password;
    public User() {
    }

    public User(String username, String password) {
        this.username = username;
        this.password = password;
    }

    public String getUsername() {
        return username;
    }

    public String getPassword() {
        return password;
    }

    public void setUsername(String username) {
        this.username = username;
    }

    public void setPassword(String password) {
        this.password = password;
    }
}

测试：

package JACKSON;
import com.fasterxml.jackson.databind.ObjectMapper;
import java.io.IOException;

public class JacksonTest {
    public static void main(String[] args) throws IOException {
        User user = new User("snowy","123456");
        ObjectMapper mapper = new ObjectMapper();
        String json = mapper.writeValueAsString(user);
        System.out.println(json);
        User other = mapper.readValue(json,User.class);
        System.out.println(other);
    }
}

运行结果