Java中序列化与反序列化的机制与安全问题-java教程-PHP中文网

Java中序列化与反序列化的机制与安全问题

尼克

发布： 2025-06-25 21:39:01

原创

542人浏览过

java反序列化漏洞可通过避免使用原生机制、采用替代框架、限制类白名单等措施防范。1.优先避免java原生序列化，改用json、protocol buffers等安全框架；2.若必须使用，可通过自定义objectinputstream实现白名单校验；3.使用安全库、校验输入流哈希、禁用危险类并升级java版本；4.性能优化方面，选择高效框架、减少对象体积、使用缓存；5.自定义writeobject/readobject方法控制序列化逻辑，保护敏感数据。

Java中序列化与反序列化的机制与安全问题

Java序列化与反序列化，简单来说，就是把Java对象转换成字节流，以及把字节流还原成Java对象的过程。这听起来很方便，但如果不注意，会带来严重的安全问题。

序列化与反序列化在Java中，主要用于持久化对象，比如保存到文件或者通过网络传输。java.io.Serializable接口是实现序列化的关键。一个类实现了这个接口，它的对象就可以被序列化。

序列化：使用ObjectOutputStream将对象写入流。反序列化：使用ObjectInputStream从流中读取对象。

如何避免Java反序列化漏洞？

最直接的方法，也是最推荐的方法，就是尽量避免使用Java自带的序列化机制。如果实在需要，可以考虑使用其他序列化框架，比如JSON、Protocol Buffers等。这些框架通常更安全，而且性能更好。

立即学习“Java免费学习笔记（深入）”；

如果必须使用Java序列化，那么就要采取一些措施来降低风险。

限制反序列化的类： 使用白名单机制，只允许反序列化特定的类。可以通过自定义ObjectInputStream来实现，覆盖resolveClass方法，检查要反序列化的类是否在白名单中。

import java.io.*;

public class SafeObjectInputStream extends ObjectInputStream {

    private static final String[] ALLOWED_CLASSES = {
        "com.example.MyClass",
        "java.lang.String",
        "java.util.ArrayList"
    };

    public SafeObjectInputStream(InputStream in) throws IOException {
        super(in);
    }

    @Override
    protected Class<?> resolveClass(ObjectStreamClass desc) throws IOException, ClassNotFoundException {
        String name = desc.getName();
        for (String allowedClass : ALLOWED_CLASSES) {
            if (allowedClass.equals(name)) {
                return super.resolveClass(desc);
            }
        }
        throw new ClassNotFoundException("Unauthorized class: " + name);
    }
}

登录后复制

使用示例：

try (SafeObjectInputStream ois = new SafeObjectInputStream(new FileInputStream("data.ser"))) {
    Object obj = ois.readObject();
    // ...
} catch (IOException | ClassNotFoundException e) {
    e.printStackTrace();
}

登录后复制

使用安全的反序列化库： 某些库提供了更安全的序列化/反序列化机制，可以防止一些常见的攻击。
校验输入流： 在反序列化之前，对输入流进行校验，确保数据的完整性和来源的可靠性。可以计算输入流的哈希值，并与预期的哈希值进行比较。

序列猴子开放平台
具有长序列、多模态、单模型、大数据等特点的超大规模语言模型

0

查看详情
禁用危险类： 某些类，比如java.rmi.server.UnicastRemoteObject，由于其特性，更容易被利用进行攻击。应该尽量避免反序列化这些类。
升级Java版本： 新版本的Java通常会修复一些已知的反序列化漏洞。

序列化对性能有什么影响？

序列化和反序列化都会带来性能开销。对象越大，结构越复杂，序列化和反序列化的时间就越长。

CPU消耗： 序列化和反序列化需要大量的CPU计算，特别是对于复杂的对象图。
内存消耗： 序列化会创建对象的副本，需要额外的内存空间。反序列化也需要分配内存来创建新的对象。
网络带宽： 如果通过网络传输序列化后的数据，会占用网络带宽。

为了提高性能，可以考虑以下几点：

选择合适的序列化框架： 不同的序列化框架性能差异很大。Protocol Buffers通常比Java自带的序列化更快，而且生成的数据更小。
减少序列化的对象大小： 只序列化必要的字段。可以使用transient关键字来排除不需要序列化的字段。
使用缓存： 如果需要频繁地序列化和反序列化同一个对象，可以使用缓存来减少计算量。

如何自定义序列化过程？

Java提供了writeObject和readObject方法，允许开发者自定义序列化和反序列化的过程。这可以用来控制哪些字段被序列化，以及如何序列化。

import java.io.*;

public class MyClass implements Serializable {

    private String name;
    private int age;
    private transient String secret; // 不会被序列化

    public MyClass(String name, int age, String secret) {
        this.name = name;
        this.age = age;
        this.secret = secret;
    }

    private void writeObject(ObjectOutputStream out) throws IOException {
        // 自定义序列化逻辑
        out.defaultWriteObject(); // 先序列化默认字段
        out.writeObject(encrypt(secret)); // 加密secret字段
    }

    private void readObject(ObjectInputStream in) throws IOException, ClassNotFoundException {
        // 自定义反序列化逻辑
        in.defaultReadObject(); // 先反序列化默认字段
        secret = decrypt((String) in.readObject()); // 解密secret字段
    }

    private String encrypt(String data) {
        // 简单的加密算法
        return new StringBuilder(data).reverse().toString();
    }

    private String decrypt(String data) {
        // 简单的解密算法
        return new StringBuilder(data).reverse().toString();
    }

    // getters and setters
}

登录后复制

在这个例子中，secret字段被标记为transient，不会被默认的序列化机制序列化。writeObject方法首先序列化默认字段，然后加密secret字段并写入流。readObject方法首先反序列化默认字段，然后从流中读取加密的secret字段并解密。

自定义序列化过程可以用来保护敏感数据，或者优化序列化性能。但需要注意的是，自定义序列化逻辑必须正确实现，否则可能会导致数据丢失或者安全问题。

总之，Java序列化和反序列化是一个强大的工具，但需要谨慎使用。了解其背后的机制和潜在的安全问题，采取适当的措施来降低风险，才能更好地利用它。

以上就是Java中序列化与反序列化的机制与安全问题的详细内容，更多请关注php中文网其它相关文章！