fastjson：差点被几个漏洞毁了一世英名

超、凢脫俗 2021-09-10 16:38 307阅读 0赞

### 01、前世今生 ###

我是 fastjson，是个地地道道的杭州土著，但我始终怀揣着一颗走向全世界的雄心。这不，我在 GitHub 上的简介都换成了英文，国际范十足吧？

![1179389-9e55da4ea0fa4468.png][]

如果你的英语功底没有我家老板 666 的话，我可以简单地翻译下（说人话，不装逼）。

我是阿里巴巴开源的一款 JSON 解析库，可以将 Java 对象序列化成 JSON 字符串，同时也可以将 JSON 字符串反序列化为 Java 对象。

*  我提供了服务器端和安卓客户端两种解析工具，性能表现还不错。
 *  我提供了便捷的方式来进行 Java 对象和 JSON 之间的互转，`toJSONString()` 方法用来序列化，`parseObject()` 方法用来反序列化。
 *  我允许转换预先存在的无法修改的对象（只有 class、没有源代码）。
 *  对 Java 泛型有着广泛的支持。
 *  我支持任意复杂的对象（深度的继承层次）。

2012 年的时候，我就被开源中国评选为最受欢迎的国产开源软件之一。时隔多年，我的流行趋势没有丝毫减退，在 JSON 领域，我敢说我是 NO 1，因为我在 GitHub 上的粉丝数已经超过了 22k，没有任何人敢忽视我这样的成就。

### 02、使用指南 ###

在使用我的 API 之前，需要先在 pom.xml 文件中引入我的依赖。

<dependency>
        <groupId>com.alibaba</groupId>
        <artifactId>fastjson</artifactId>
        <version>1.2.58</version>
    </dependency>

我来写一个简单的测试用例，你看一下。

public class Test {
        public static void main(String[] args) {
            Writer writer = new Writer();
            writer.setAge(18);
            writer.setName("沉默王二");
    
            String json = JSON.toJSONString(writer);
            System.out.println(json);
        }
    }
    class Writer {
        private int age;
        private String name;
    
        // getter/setter
    }

Writer 是一个普通的 Java 类，有两个字段，分别是 age 和 name，还有它们俩对应的 getter 和 setter 方法。

`main()` 方法中创建了一个 Writer 对象，然后调用我提供的一个静态方法 `JSON.toJSONString()` 来得到 JSON 字符串。

来看一下打印后的结果。

{"age":18,"name":"沉默王二"}

如果想反序列化的话，执行以下的代码即可。

Writer writer1 = JSON.parseObject(json, Writer.class);

调用静态方法 `JSON.parseObject()`，传递两个参数，一个是 JSON 字符串，一个是对象的类型。

如果想把 JSON 字符串转成集合的话，需要调用另外一个静态方法 `JSON.parseArray()`。

List<Writer> list = JSON.parseArray("[{\"age\":18,\"name\":\"沉默王二\"},{\"age\":19,\"name\":\"沉默王一\"}]", Writer.class);

如果没有特殊要求的话，我敢这么说，以上 3 个方法就可以覆盖到你绝大多数的业务场景了。

### 03、使用注解 ###

有时候，你的 JSON 字符串中的 key 可能与 Java 对象中的字段不匹配，比如大小写；有时候，你需要指定一些字段序列化但不反序列化；有时候，你需要日期字段显示成指定的格式。

这些特殊场景，我统统为你考虑到了，只需要在对应的字段上加上 `@JSONField` 注解就可以了。

先来看一下 `@JSONField` 注解的定义吧。

public @interface JSONField {
        String name() default "";
        String format() default "";
        boolean serialize() default true;
        boolean deserialize() default true;
    }

name 用来指定字段的名称，format 用来指定日期格式，serialize 和 deserialize 用来指定是否序列化和反序列化。

class Writer {
        private int age;
        private String name;
        private Date birthday;
    
        @JSONField(format = "yyyy年MM月dd日")
        public Date getBirthday() {
            return birthday;
        }
    
        public void setBirthday(Date birthday) {
            this.birthday = birthday;
        }
    
        @JSONField(name = "Age")
        public int getAge() {
            return age;
        }
    
        public void setAge(int age) {
            this.age = age;
        }
    
        @JSONField(serialize = false,deserialize = true)
        public String getName() {
            return name;
        }
    
        public void setName(String name) {
            this.name = name;
        }
    }

我建议在 getter 字段上使用 `@JSONField` 注解。来看一下测试代码。

Writer writer = new Writer();
    writer.setAge(18);
    writer.setName("沉默王二");
    writer.setBirthday(new Date());
    
    String json = JSON.toJSONString(writer);
    System.out.println(json);

此时的输出结果如下所示。

{"Age":18,"birthday":"2020年12月17日"}

JSON 字符串中的 Age 首字母为大写，birthday 的格式符合“年月日”的预期，name 字段没有出现在结果中，说明没有被序列化。

### 04、序列化特性 ###

为了满足更多个性化的需求，我在 SerializerFeature 类中定义了很多特性，你可以在调用 `toJSONString()` 方法的时候进行指定。

*  PrettyFormat，让 JSON 格式打印得更漂亮一些
 *  WriteClassName，输出类名
 *  UseSingleQuotes，key 使用单引号
 *  WriteNullListAsEmpty，List 为空则输出 \[\]
 *  WriteNullStringAsEmpty，String 为空则输出“”

等等等等，更多新技能，等待你去开锁。我这里写个简单的 demo 供你参考。

System.out.println(JSON.toJSONString(writer, 
    SerializerFeature.PrettyFormat, 
    SerializerFeature.UseSingleQuotes));

对比一下配置前和配置后的结果。

{"Age":18,"birthday":"2020年12月17日"}
    {
        'Age':18,
        'birthday':'2020年12月17日'
    }

### 05、我为什么快 ###

众所周知，把 Java 对象序列化成 JSON 字符串，是不可能使用字符串直接拼接的，因为这样性能很差。比字符串拼接更好的办法就是使用 `StringBuilder`。

StringBuilder 尽管已经很好了，但在性能上还有上升的空间。“自己动手，丰衣足食”，于是我就创造了一个 SerializeWriter 类，专门用来序列化。

SerializeWriter 类中包含了一个 `char[] buf`，每序列化一次，都要做一次分配，但我使用了 ThreadLocal 来进行优化，这样就能够有效地减少对象的分配和垃圾回收，从而提升性能。

private final static ThreadLocal<char[]> bufLocal         = new ThreadLocal<char[]>();
    
    public SerializeWriter(java.io.Writer writer, int defaultFeatures, SerializerFeature... features){
        this.writer = writer;
    
        buf = bufLocal.get();
    
        if (buf != null) {
            bufLocal.set(null);
        } else {
            buf = new char[2048];
        }
    }

除此之外，还有很多其他的细节，比如说使用 IdentityHashMap 而不是 HashMap，既可以避免多余的 `equals` 操作，又可以避免多线程并发情况下的死循环。

/**
     * for concurrent IdentityHashMap
     * 
     * @author wenshao[szujobs@hotmail.com]
     */
    @SuppressWarnings("unchecked")
    public class IdentityHashMap<K, V> {
        private final Entry<K, V>[] buckets;
        private final int           indexMask;
        public final static int DEFAULT_SIZE = 8192;
    }

再比如说，使用 asm 技术来避免反射导致的开销。

![1179389-b3a5d2410451ae57.png][]

我承认，快的同时，也带来了一些安全性的问题。尤其是 AutoType 的引入，让黑客有了可乘之机。

> 1.2.59 发布，增强 AutoType 打开时的安全性
> 
> 1.2.60 发布，增加了 AutoType 黑名单，修复拒绝服务安全问题
> 
> 1.2.61 发布，增加 AutoType 安全黑名单
> 
> 1.2.62 发布，增加 AutoType 黑名单、增强日期反序列化和 JSONPath
> 
> 1.2.66 发布，Bug 修复安全加固，并且做安全加固，补充了 AutoType 黑名单
> 
> 1.2.67 发布，Bug 修复安全加固，补充了 AutoType 黑名单
> 
> 1.2.68 发布，支持 GEOJSON，补充了 AutoType 黑名单。（引入一个 safeMode 的配置，配置 safeMode 后，无论白名单和黑名单，都不支持 autoType。）
> 
> 1.2.69 发布，修复新发现高危 AutoType 开关绕过安全漏洞，补充了 AutoType 黑名单
> 
> 1.2.70 发布，提升兼容性，补充了 AutoType 黑名单

在于黑客的反复较量中，我虽然变得越来越稳重成熟了，但与此同时，让我的用户为此也付出了沉重的代价。

![1179389-2a6c5b151213b6d2.png][]

网络上也出现了很多不和谐的声音，他们声称我是最垃圾的国产开源软件之一，只不过凭借着一些投机取巧赢得了国内开发者的信赖。

但更多的是，对我的不离不弃。

![1179389-c2dfc4298cf9c31f.png][]

最令我感到为之动容的一句话是：

> 温少几乎凭一己之力撑起了一个被广泛使用 JSON 库，而其他库几乎都是靠一整个团队，就凭这一点，温少作为“初心不改的阿里初代开源人”，当之无愧。

出现漏洞并不可怕，可怕的是发现不了漏洞，或者说无法解决掉漏洞。

为了彻底解决 AutoType 带来的问题，在 1.2.68 版本中，我引入了 safeMode 的安全模式，无论白名单和黑名单，都不支持 AutoType，这样就可以彻底地杜绝攻击。

![1179389-2f4ea4a139ed081b.png][]

安全模式下，`checkAutoType()` 方法会直接抛出异常。

### 06、尾声 ###

不管前面的路还有多少艰难困苦，也不管还要面对多少风言风语，我都会砥砺前行，为了国产开源软件的蓬勃发展，我愿意做一个先驱者，也愿意做一个持久战者。

![1179389-91e300ce873bac90.png][]

[1179389-9e55da4ea0fa4468.png]: /images/20210809/27782ee25db2475aa4f6c0b334bc78fa.png
[1179389-b3a5d2410451ae57.png]: /images/20210809/ad30bbdc9f5d44b8ad230edb2ae9898d.png
[1179389-2a6c5b151213b6d2.png]: /images/20210809/8cf91fa712e04ee895f6125b6687100c.png
[1179389-c2dfc4298cf9c31f.png]: /images/20210809/48aa822c2413487c8b17213f5430cc2c.png
[1179389-2f4ea4a139ed081b.png]: /images/20210809/7b852526ac354a9da25439510b723e88.png
[1179389-91e300ce873bac90.png]: /images/20210809/1900d6b644a4483e97a63511be437020.png