Java面向对象系列[v1.0.0][输入流过滤器对反序列化对象有效性验证]

Love The Way You Lie 2023-02-16 04:02 32阅读 0赞

## 输入流过滤器对反序列化对象有效性验证 ##

Java9为ObjectInputStream增加了setObjectInputFilter()、getObjectInputFilter()两个方法，其中第一个方法用于为对象输入流设置过滤器，当程序通过ObjectInputStream反序列化对象时，过滤器的checkInput()方法将会被自动激发，用于检查序列化数据是否有效  
使用checkInput()方法检查序列化数据时，有3种返回值：

*  Status.REJECTED:拒绝恢复
 *  Status.ALLOWED:允许恢复
 *  Status.UNDECIDED:未决定状态，程序继续执行检查

ObjectInputStream将会根据ObjectInputFilter的检查结果来决定是否执行反序列化，如果checkInput()方法返回Status.REJECTED，反序列化将会被阻止；如果checkInput()方法返回Status.ALLOWED,程序将可执行反序列化

import java.io.*;
    
    public class FilterTest
    { 
    	public static void main(String[] args)
    	{ 
    		try (
    			// 创建一个ObjectInputStream输入流
    			var ois = new ObjectInputStream(new FileInputStream("object.txt")))
    		{ 
    			ois.setObjectInputFilter((info) -> { 
    				System.out.println("===执行数据过滤===");
    				ObjectInputFilter serialFilter = ObjectInputFilter.Config.getSerialFilter();
    					if (serialFilter != null) { 
    						// 首先使用ObjectInputFilter执行默认的检查
    						ObjectInputFilter.Status status = serialFilter.checkInput(info);
    						// 如果默认检查的结果不是Status.UNDECIDED
    						if (status != ObjectInputFilter.Status.UNDECIDED) { 
    							// 直接返回检查结果
    							return status;
    						}
    					}
    					// 如果要恢复的对象不是1个
    					if (info.references() != 1)
    					{ 
    						// 不允许恢复对象
    						return ObjectInputFilter.Status.REJECTED;
    					}
    					if (info.serialClass() != null &&
    						// 如果恢复的不是Person类
    						info.serialClass() != Person.class)
    					{ 
    						// 不允许恢复对象
    						return ObjectInputFilter.Status.REJECTED;
    					}
    					return ObjectInputFilter.Status.UNDECIDED;
    				});
    			// 从输入流中读取一个Java对象，并将其强制类型转换为Person类
    			var p = (Person) ois.readObject();
    			System.out.println("名字为：" + p.getName()
    				+ "\n年龄为：" + p.getAge());
    		}
    		catch (Exception ex)
    		{ 
    			ex.printStackTrace();
    		}
    	}
    }

程序为ObjectInputStream设置了ObjectInputFilter过滤器，程序重写了checkInput()方法，显示使用默认的ObjectInputFilter执行检查，如果检查结果不是Status.UNDECIDED, 程序直接返回检查结果，然后程序通过FilterInfo检查序列化数据，如果序列化数据中的对象不唯一(数据被污染)，程序拒绝执行反序列化；如果序列化数据中的对象不是Person对象(数据被污染)，程序拒绝执行反序列化。  
通过这种检查，程序可以保证反序列化出来的是唯一的Person对象，这样就让反序列化更加安全健壮