![](https://img-blog.csdnimg.cn/20201014180756927.png?x-oss-process=image/resize,m_fixed,h_64,w_64)
序列化
zl1zl2zl3
这个作者很懒,什么都没留下…
展开
-
原来不只是fastjson,这个你每天都在用的类库也被爆过反序列化漏洞!
在《fastjson到底做错了什么?为什么会被频繁爆出漏洞?》文章中,我从技术角度分析过为什么fastjson会被频繁爆出一些安全漏洞,然后有人在评论区发表"说到底就是fastjson烂…"等言论,一般遇到这种评论我都是不想理的。但是事后想想,这个事情还是要单独说一下,因为这种想法很危险。一旦这位读者有一天当上了领导,那么如果他负责的项目发生了漏洞,他还是站出来说"都怪XXX代码写的烂…",这其实是非常可怕的。工作久了的话,就会慢慢有种感觉:代码都是人写的,是人写的代码就可能存在漏洞,这个是永远转载 2020-07-13 11:30:24 · 303 阅读 · 0 评论 -
序列化的 serialVersionUID 到底有什么用?
作者:学无止境来源:www.cnblogs.com/duanxz/p/3511695.html实现Serializable接口的目的是为类可持久化,比如在网络传输或本地存储,为系统的分布和异构部署提供先决条件。若没有序列化,现在我们所熟悉的远程调用,对象数据库都不可能存在,serialVersionUID适用于java序列化机制。简单来说,JAVA序列化的机制是通过判断类的serialVersionUID来验证的版本一致的。在进行反序列化时,JVM会把传来的字节流中的serialVe.转载 2020-07-03 14:10:23 · 709 阅读 · 0 评论 -
Dubbo 序列化协议 5 连问,这谁接得住啊?
作者:小哇说互联来源:www.toutiao.com/i6745361206137061895/1)dubbo 支持哪些通信协议?2)支持哪些序列化协议?3)说一下 Hessian 的数据结构?4)PB 知道吗?5)为什么 PB 的效率是最高的?面试官心理分析上一个问题,说说 dubbo 的基本工作原理,那是你必须知道的,至少要知道 dubbo 分成哪些层,然后平时怎么发起 rpc 请求的,注册、发现、调用,这些是基本的。接着就可以针对底层进行深入的问问了,比如第一步就.转载 2020-05-27 10:12:04 · 260 阅读 · 0 评论 -
关于序列化的 10 几个问题,你顶得住不?
任何序列化该类的尝试都会因NotSerializableException而失败,但这可以通过在 Java中 为 static 设置瞬态(transient)变量来轻松解决。Java 序列化相关的常见问题Java 序列化是一个重要概念, 但它很少用作持久性解决方案, 开发人员大多忽略了 Java 序列化 API。根据我的经验, Java 序列化在任何 Java核心内容面试中都是一个相当重要的话题, 在几乎所有的网面试中, 我都遇到过一两个 Java 序列化问题, 我看过一次面试, 在问几个关于序转载 2020-05-15 10:41:40 · 449 阅读 · 0 评论 -
单例模式反射、序列化漏洞及解决方案!
使用反射技术来获取不同的实例,以下是一个简单的饿汉式的单例模式的代码实现:当我们需要获取Singleton对象的时候,直接调用静态方法getInstance就可以了:但是学过反射的人都知道,通过反射技术也能获取到一个类的实例对象,即使它的构造函数时私有化的,我们也可以通过暴力访问来调用其构造函数,所以以上测试类的运行结果为:可以看出通过调用getInstance方法获取到的...转载 2020-04-03 18:09:52 · 368 阅读 · 0 评论 -
单例模式反射、序列化漏洞及解决方案!
使用反射技术来获取不同的实例,以下是一个简单的饿汉式的单例模式的代码实现:当我们需要获取Singleton对象的时候,直接调用静态方法getInstance就可以了:但是学过反射的人都知道,通过反射技术也能获取到一个类的实例对象,即使它的构造函数时私有化的,我们也可以通过暴力访问来调用其构造函数,所以以上测试类的运行结果为:可以看出通过调用getInstance方法获...转载 2020-04-02 22:03:06 · 329 阅读 · 1 评论 -
知乎:fastjson 这么快,为啥老外还是热衷 jackson?
知乎上有人提问:fastjson这么快,为啥老外还是热衷 jackson? 下面是甘明的回答,从各个方面分析了这个问题:哈哈哈,我来回答这个问题!因为我实在是对这两个库太熟悉了。1、你写个bean,然后属性里分别有包含_(下划线开头、#开头)之类的属性,序列化为json时,出现属性丢失,那么自然你也无法反序列化回来。这个问题,1.2.14版本以后已经改正。2、翻阅fas...转载 2020-03-14 11:11:27 · 530 阅读 · 0 评论 -
Redis序列化、RedisTemplate序列化方式大解读,介绍Genericjackson2jsonredisserializer序列化器的坑
前言上一篇已经介绍了优雅的操作Redis:【小家Spring】Spring Boot中使用RedisTemplate优雅的操作Redis,并且解决RedisTemplate泛型注入的问题。本篇着重介绍一下几种常用的序列化方式最近在做一个项目,由于并发量大,大量使用到了RedisTemplate来操作Redis。但使用过程中,遇到了不少的坑,各种翻看源码来跟踪,也总结出了不少的经...转载 2019-06-26 16:56:45 · 13822 阅读 · 2 评论 -
Java对象的序列化与反序列化
序列化与反序列化序列化 (Serialization)是将对象的状态信息转换为可以存储或传输的形式的过程。一般将一个对象存储至一个储存媒介,例如文件或是内存缓冲区等。在网络传输过程中,可以是字节或是XML等格式。而字节或XML编码格式可以还原成完全相等的对象。这个相反的过程则称为反序列化。 Java对象的序列化与反序列化在Java中,我们可以通过多种方式来创建对象,并且只要对象没有...转载 2018-12-19 15:24:18 · 308 阅读 · 0 评论