[Java安全]Fastjson＞=1.2.36$ref引用可触发get方法分析

写在前面

平时我们在处理fastjson反序列化的时候，如果我们想要执行属性的get方法，而如果只有JSON.parse怎么办
我们知道JSON.parse可以套一层parseObject实现对get方法的调用，但说这个也没有必要继续本篇的介绍了，这里介绍另一种，废话不多说开始分析

JSONPath语法

看文档https://goessner.net/articles/JsonPath/，重点关注下这个

利用演示

人比较不老实，喜欢骚东西，这里执行下命令

public class Test {
   
    private String cmd;

    public String getCmd() throws IOException {
   
        Runtime.getRuntime().exec(cmd);
        return cmd;
    }

    public void setCmd(