gson 反序列化后整形变浮点问题

说明

此问题出于研发阶段发现的问题,经过翻阅源码分析得出如下解决方案, 个人感觉来讲 对比fastjson ,gson没有那么懂得我们的心,很多时候 我们理所当然的认为序列化的时候就应该是这样的,但是gson并没有给与那么完美的支持,更多的时候还需要我们针对性的定制插件来扩展支持。
另外也简单说下不用fastjson的原因,fastjson在实际使用中确实是很好用,大部分情况效果都比较符合开发者的预期,但是有一点比较致命的就是安全问题,一直以来,生产环境因为fastjson升级导致的兼容问题层出不穷,这就是不选用fastjson的最主要原因

问题样例说明

public static void main(String[] args) {
        GsonBuilder builder = new GsonBuilder();
        builder.setDateFormat("yyyy-MM-dd HH:mm:ss");
        builder.registerTypeAdapter(new TypeToken<Map<String,Object>>(){}.getType(),new MapTypeAdapter());
        Gson gson = builder.create();
        String value = "{\"amount\":20000}";
        Map<String, Object> map = gson.fromJson(value, new TypeToken<Map<String, Object>>() {
        }.getType());
        System.out.println(map.get("amount"));

        GsonBuilder builder2 = new GsonBuilder();
        builder2.setDateFormat("yyyy-MM-dd HH:mm:ss");
        Gson gson2 = builder2.create();
        Map<String, Object> map2 = gson2.fromJson(value, new TypeToken<Map<String, Object>>() {
        }.getType());
        System.out.println(map2.get("amount"));
    }

如上代码 一个JSON转换成Map<String, Object> 然后值类型会出现问题 从整形数据变成浮点数 ,字符串则没有任何问题
执行结果如下

20000
20000.0

问题方案

如上代码 问题已经解决 解决方案和原因介绍
com.google.gson.internal.bind.ObjectTypeAdapter 参考gson的源码的这个类
反序列化的时候 NUMBER类型 的时候 默认是按double处理的所以加上了浮点数的。0 然后模拟此类定制一个TypeAdapter 解决此问题就可以了

 public Object read(JsonReader in) throws IOException {
        JsonToken token = in.peek();
        switch(token) {
        case BEGIN_ARRAY:
            List<Object> list = new ArrayList();
            in.beginArray();

            while(in.hasNext()) {
                list.add(this.read(in));
            }

            in.endArray();
            return list;
        case BEGIN_OBJECT:
            Map<String, Object> map = new LinkedTreeMap();
            in.beginObject();

            while(in.hasNext()) {
                map.put(in.nextName(), this.read(in));
            }

            in.endObject();
            return map;
        case STRING:
            return in.nextString();
            // NUMBER 值类型重写下方法  把不需要是浮点数的修改一下解析返回值即可
        case NUMBER:
            return in.nextDouble();
        case BOOLEAN:
            return in.nextBoolean();
        
  • 0
    点赞
  • 0
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
根据提供的引用内容,fastjson序列漏洞是一种安全漏洞,攻击者可以利用该漏洞在目标系统上执行恶意代码。下面是fastjson序列漏洞的复现过程[^1][^2]: 1. 判断是否使用Fastjson以及Fastjson版本:首先需要确定目标系统是否使用了Fastjson,并且确定Fastjson的版本号。可以通过查看项目的依赖文件或者代码中的导入语句来确定。 2. 漏洞复现:根据Fastjson的版本号选择相应的漏洞复现方法。 - Fastjson<1.2.24远程代码执行(CNVD-2017-02833):该漏洞可以通过构造恶意的JSON字符串来触发远程代码执行。攻击者可以在JSON字符串中插入恶意的Java代码,并通过序列操作执行该代码。 - Fastjson<=1.2.47远程代码执行漏洞(CNVD-2019-22238):该漏洞可以通过构造恶意的JSON字符串来触发远程代码执行。攻击者可以在JSON字符串中使用特殊的射调用方式来执行恶意代码。 3. 防范措施:为了防止fastjson序列漏洞的利用,可以采取以下措施: - 及时升级Fastjson版本:Fastjson团队会及时修复漏洞并发布新版本,及时升级到最新版本可以避免被已知漏洞攻击。 - 输入验证和过滤:在接收用户输入并进行序列操作之前,对输入进行严格的验证和过滤,确保输入的数据符合预期的格式和内容。 - 使用安全的JSON库:考虑使用其他安全性更高的JSON库,如Jackson或Gson,来替代Fastjson。

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 2
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值