近期使用到一个Springboot项目，里面用到Fastjson开源库，版本低于1.2.8

影响范围

>Fastjson <= 1.2.80，如已开启safemode则不受该漏洞影响

打开SafeMode功能

在1.2.68之后的版本，fastjson增加了safeMode的支持。safeMode打开后，完全禁用autoType。所有的安全修复版本sec10也支持SafeMode配置。

有三种方式配置SafeMode，如下:

1. 在代码中配置

ParserConfig.getGlobalInstance().setSafeMode(true);

• 注意，如果使用new ParserConfig的方式，需要注意单例处理，否则会导致低性能full gc。

2. 加上JVM启动参数

    -Dfastjson.parser.safeMode=true

如果有多个包名前缀，用逗号隔开

3. 通过fastjson.properties文件配置。

通过类路径的fastjson.properties文件来配置，配置方式如下：

fastjson.parser.safeMode=true

4. safeMode场景如何做autoType

在1.2.68之后的版本，提供了AutoTypeCheckHandler扩展，可以自定义类接管autoType, 通过ParserConfig#addAutoTypeCheckHandler方法注册。

// com.alibaba.fastjson.parser.ParserConfig.AutoTypeCheckHandler
    /**
     * @since 1.2.68
     */
    public interface AutoTypeCheckHandler {
        Class<?> handler(String typeName, Class<?> expectClass, int features);
    }
    // com.alibaba.fastjson.parser.ParserConfig#addAutoTypeCheckHandler

5. 怎么判断是否用到了autoType

看序列化的代码中是否用到了SerializerFeature.WriteClassName

JSON.toJSONString(obj, SerializerFeature.WriteClassName); // 这种使用会产生@type

6. 使用JSONType.autoTypeCheckHandler

在fastjson 1.2.71版本中，提供了通过JSONType配置autoTypeCheckHandler的方法，比如：

public class JSONTypeAutoTypeCheckHandlerTest extends TestCase {
    public void test_for_checkAutoType() throws Exception {
        Cat cat = (Cat) JSON.parseObject("{\"@type\":\"Cat\",\"catId\":123}", Animal.class);
        assertEquals(123, cat.catId);
    }
    @JSONType(autoTypeCheckHandler = MyAutoTypeCheckHandler.class)
    public static class Animal {
    }
    public static class Cat extends Animal {
        public int catId;
    }
    public static class Mouse extends Animal {
    }
    public static class MyAutoTypeCheckHandler implements ParserConfig.AutoTypeCheckHandler {
        public Class<?> handler(String typeName, Class<?> expectClass, int features) {
            if ("Cat".equals(typeName)) {
                return Cat.class;
            }
            if ("Mouse".equals(typeName)) {
                return Mouse.class;
            }
            return null;
        }
    }
}

本文链接:https://it72.com/12724.htm