fastjson反序列化环境配置

### 配置 FastJSON 反序列化环境 为了配置 FastJSON 的反串联化环境，需要理解其核心参数以及如何控制这些参数来实现更安全的操作。以下是关于 FastJSON 中的关键配置项及其作用： #### 1. `autoTypeSupport` 参数 此参数用于标识是否允许任意类型的反序列化操作。如果将其设置为 `true`，则会启用自动类型支持功能，但这可能会带来安全隐患，因为攻击者可以利用该特性加载恶意类并触发危险行为。 ```java // 启用 autoTypeSupport 功能 String json = "{\"@type\":\"java.lang.Runtime\",\"cmd\":\"whoami\"}"; ParserConfig.getGlobalInstance().setAutoTypeSupport(true); Object obj = JSON.parse(json); // 这里可能引发远程命令执行漏洞 [^3] ``` 因此，在生产环境中建议禁用此选项或将它设为 false 来提高安全性。 #### 2. 黑名单 (`denyList`) 和白名单 (`acceptList`) FastJSON 提供了两种机制——黑名单和白名单——以进一步增强系统的防护能力。通过指定哪些类不允许被反序列化（即加入到 denyList），或者仅限于某些特定的安全类能够参与反序列化进程（即 acceptList），从而减少潜在风险。 ```java // 设置自定义黑白名单策略 Set<String> denyClasses = new HashSet<>(); denyClasses.add("com.example.DangerousClass"); ParserConfig config = ParserConfig.getGlobalInstance(); config.setDeny(denyClasses); Set<String> allowClasses = new HashSet<>(); allowClasses.add("com.example.SafeClass"); config.setAccept(allowClasses); ``` 以上代码片段展示了如何手动管理 FastJSON 解析器中的受信任与不受信类别列表。 #### 3. 安全检测函数 `checkAutoType` 当启用了 `autoTypeSupport=true` 之后，默认情况下还会运行一次额外的安全验证过程叫做 checkAutoType 。它可以依据预定义规则判断输入数据是否存在可疑之处，并据此决定是否继续处理请求。 需要注意的是，尽管存在上述保护措施，但在实际应用过程中仍需谨慎对待来自外部不可控源的数据流，最好结合其他防御手段共同构建坚固防线。 --- ### 示例代码展示完整的初始化流程 下面给出一段综合性的 Java 实现例子，演示怎样正确地搭建起一个相对较为稳妥的 fastjson 序列/反序列框架实例: ```java import com.alibaba.fastjson.JSON; import com.alibaba.fastjson.parser.ParserConfig; public class SafeFastJsonExample { public static void main(String[] args){ String jsonString = "{\"name\":\"John\", \"age\":30}"; // 创建全局解析配置对象 ParserConfig parserConfig = ParserConfig.getGlobalInstance(); // 关闭 autotype 支持 或 显式声明合法类型集合 parserConfig.setAutoTypeSupport(false); try{ MyBean bean = JSON.parseObject(jsonString,MyBean.class,null, Feature.DisableCircularReferenceDetect); System.out.println(bean.getName()); System.out.println(bean.getAge()); }catch(Exception e){ e.printStackTrace(); } } } class MyBean{ private String name; private int age; public String getName(){ return this.name; } public void setName(String value){ this.name=value; } public Integer getAge(){ return this.age; } public void setAge(Integer value){ this.age=value; } } ``` 上面这段程序重点在于关闭了 AutoType Support 并且采用了 Disable Circular Reference Detect 特性防止循环引用问题发生的同时也提高了性能表现。 ---