Java反序列化漏洞可通过避免使用原生机制、采用替代框架、限制类白名单等措施防范。1.优先避免java原生序列化，改用json、protocol buffers等安全框架；2.若必须使用，可通过自定义objectinputstream实现白名单校验；3.使用安全库、校验输入流哈希、禁用危险类并升级java版本；4.性能优化方面，选择高效框架、减少对象体积、使用缓存；5.自定义writeobject/readobject方法控制序列化逻辑，保护敏感数据。
Java序列化与反序列化，简单来说，就是把Java对象转换成字节流，以及把字节流还原成Java对象的过程。这听起来很方便，但如果不注意，会带来严重的安全问题。
序列化与反序列化在Java中，主要用于持久化对象，比如保存到文件或者通过网络传输。java.io.Serializable接口是实现序列化的关键。一个类实现了这个接口，它的对象就可以被序列化。
序列化：使用ObjectOutputStream将对象写入流。 反序列化：使用ObjectInputStream从流中读取对象。
如何避免Java反序列化漏洞？
最直接的方法，也是最推荐的方法，就是尽量避免使用Java自带的序列化机制。如果实在需要，可以考虑使用其他序列化框架，比如JSON、Protocol Buffers等。这些框架通常更安全，而且性能更好。
立即学习“Java免费学习笔记（深入）”；
如果必须使用Java序列化，那么就要采取一些措施来降低风险。
-
限制反序列化的类： 使用白名单机制，只允许反序列化特定的类。可以通过自定义ObjectInputStream来实现，覆盖resolveClass方法，检查要反序列化的类是否在白名单中。
import java.io.*; public class SafeObjectInputStream extends ObjectInputStream { private static final String[] ALLOWED_CLASSES = { "com.example.MyClass", "java.lang.String", "java.util.ArrayList" }; public SafeObjectInputStream(InputStream in) throws IOException { super(in); } @Override protected Class<?> resolveClass(ObjectStreamClass desc) throws IOException, ClassNotFoundException { String name = desc.getName(); for (String allowedClass : ALLOWED_CLASSES) { if (allowedClass.equals(name)) { return super.resolveClass(desc); } } throw new ClassNotFoundException("Unauthorized class: " + name); } }使用示例：
try (SafeObjectInputStream ois = new SafeObjectInputStream(new FileInputStream("data.ser"))) { Object obj = ois.readObject(); // ... } catch (IOException | ClassNotFoundException e) { e.printStackTrace(); } -
使用安全的反序列化库： 某些库提供了更安全的序列化/反序列化机制，可以防止一些常见的攻击。
-
校验输入流： 在反序列化之前，对输入流进行校验，确保数据的完整性和来源的可靠性。可以计算输入流的哈希值，并与预期的哈希值进行比较。
-
禁用危险类： 某些类，比如java.rmi.server.UnicastRemoteObject，由于其特性，更容易被利用进行攻击。应该尽量避免反序列化这些类。
-
升级Java版本： 新版本的Java通常会修复一些已知的反序列化漏洞。
序列化对性能有什么影响？
序列化和反序列化都会带来性能开销。对象越大，结构越复杂，序列化和反序列化的时间就越长。
- CPU消耗： 序列化和反序列化需要大量的CPU计算，特别是对于复杂的对象图。
- 内存消耗： 序列化会创建对象的副本，需要额外的内存空间。反序列化也需要分配内存来创建新的对象。
- 网络带宽： 如果通过网络传输序列化后的数据，会占用网络带宽。
为了提高性能，可以考虑以下几点：
- 选择合适的序列化框架： 不同的序列化框架性能差异很大。Protocol Buffers通常比Java自带的序列化更快，而且生成的数据更小。
- 减少序列化的对象大小： 只序列化必要的字段。可以使用transient关键字来排除不需要序列化的字段。
- 使用缓存： 如果需要频繁地序列化和反序列化同一个对象，可以使用缓存来减少计算量。
如何自定义序列化过程？
Java提供了writeObject和readObject方法，允许开发者自定义序列化和反序列化的过程。这可以用来控制哪些字段被序列化，以及如何序列化。
import java.io.*; public class MyClass implements Serializable { private String name; private int age; private transient String secret; // 不会被序列化 public MyClass(String name, int age, String secret) { this.name = name; this.age = age; this.secret = secret; } private void writeObject(ObjectOutputStream out) throws IOException { // 自定义序列化逻辑 out.defaultWriteObject(); // 先序列化默认字段 out.writeObject(encrypt(secret)); // 加密secret字段 } private void readObject(ObjectInputStream in) throws IOException, ClassNotFoundException { // 自定义反序列化逻辑 in.defaultReadObject(); // 先反序列化默认字段 secret = decrypt((String) in.readObject()); // 解密secret字段 } private String encrypt(String data) { // 简单的加密算法 return new StringBuilder(data).reverse().toString(); } private String decrypt(String data) { // 简单的解密算法 return new StringBuilder(data).reverse().toString(); } // getters and setters }
在这个例子中，secret字段被标记为transient，不会被默认的序列化机制序列化。writeObject方法首先序列化默认字段，然后加密secret字段并写入流。readObject方法首先反序列化默认字段，然后从流中读取加密的secret字段并解密。
自定义序列化过程可以用来保护敏感数据，或者优化序列化性能。但需要注意的是，自定义序列化逻辑必须正确实现，否则可能会导致数据丢失或者安全问题。
总之，Java序列化和反序列化是一个强大的工具，但需要谨慎使用。了解其背后的机制和潜在的安全问题，采取适当的措施来降低风险，才能更好地利用它。
