Java面向对象系列[v1.0.0][输入流过滤器对反序列化对象有效性验证]

原创已于 2023-11-22 18:33:37 修改 · 836 阅读

2 ·

CC 4.0 BY-SA版权

文章标签：

#反序列化检查

于 2020-06-07 16:52:19 首次发布

探索Java语言的精髓与实践专栏收录该内容

101 篇文章

订阅专栏

本文介绍Java9中ObjectInputStream新增的setObjectInputFilter()方法，通过自定义ObjectInputFilter实现对反序列化对象的有效性验证。文章详细解释了过滤器的checkInput()方法如何工作，以及如何通过该方法确保反序列化过程的安全性和健壮性。

输入流过滤器对反序列化对象有效性验证

Java9为ObjectInputStream增加了setObjectInputFilter()、getObjectInputFilter()两个方法，其中第一个方法用于为对象输入流设置过滤器，当程序通过ObjectInputStream反序列化对象时，过滤器的checkInput()方法将会被自动激发，用于检查序列化数据是否有效
使用checkInput()方法检查序列化数据时，有3种返回值：

Status.REJECTED:拒绝恢复
Status.ALLOWED:允许恢复
Status.UNDECIDED:未决定状态，程序继续执行检查

ObjectInputStream将会根据ObjectInputFilter的检查结果来决定是否执行反序列化，如果checkInput()方法返回Status.REJECTED，反序列化将会被阻止；如果checkInput()方法返回Status.ALLOWED,程序将可执行反序列化

import java.io.*;

public class FilterTest
{
	public static void main(String[] args)
	{
		try (
			// 创建一个ObjectInputStream输入流
			var ois = new ObjectInputStream(new FileInputStream("object.txt")))
		{
			ois.setObjectInputFilter((info) -> {
				System.out.println("===执行数据过滤===");
				ObjectInputFilter serialFilter = ObjectInputFilter.Config.getSerialFilter();
					if (serialFilter != null) {
						// 首先使用ObjectInputFilter执行默认的检查
						ObjectInputFilter.Status status = serialFilter.checkInput(info);
						// 如果默认检查的结果不是Status.UNDECIDED
						if (status != ObjectInputFilter.Status.UNDECIDED) {
							// 直接返回检查结果
							return status;
						}
					}
					// 如果要恢复的对象不是1个
					if (info.references() != 1)
					{
						// 不允许恢复对象
						return ObjectInputFilter.Status.REJECTED;
					}
					if (info.serialClass() != null &&
						// 如果恢复的不是Person类
						info.serialClass() != Person.class)
					{
						// 不允许恢复对象
						return ObjectInputFilter.Status.REJECTED;
					}
					return ObjectInputFilter.Status.UNDECIDED;
				});
			// 从输入流中读取一个Java对象，并将其强制类型转换为Person类
			var p = (Person) ois.readObject();
			System.out.println("名字为：" + p.getName()
				+ "\n年龄为：" + p.getAge());
		}
		catch (Exception ex)
		{
			ex.printStackTrace();
		}
	}
}

程序为ObjectInputStream设置了ObjectInputFilter过滤器，程序重写了checkInput()方法，显示使用默认的ObjectInputFilter执行检查，如果检查结果不是Status.UNDECIDED, 程序直接返回检查结果，然后程序通过FilterInfo检查序列化数据，如果序列化数据中的对象不唯一(数据被污染)，程序拒绝执行反序列化；如果序列化数据中的对象不是Person对象(数据被污染)，程序拒绝执行反序列化。
通过这种检查，程序可以保证反序列化出来的是唯一的Person对象，这样就让反序列化更加安全健壮