代码之家 › 专栏 › 技术社区 › Lou

在Java中使用SealedObjects对序列化的可攻击性安全吗?

serialization security java

Lou · 技术社区 · 8 年前

我知道Java序列化会带来安全风险。在Java中密封对象可以减轻这种风险吗?如果是,有什么理由不使用对象密封而不是不安全的序列化?

1 回复 | 直到 8 年前

Tom Hawtin - tackline 8 年前

不,不是靠自己。序列化流可以包含任何对象,而不仅仅是 javax.crypto.SealedObject . 你仍然需要新的“白名单”功能。

一个更好的方法是保护整个流。然后使用不同的协议来实现Java串行化,而不需要所有的魔法。或者在可能的情况下,只需传递一个令牌而不是数据本身。

推荐文章

user29759326 · 如何返回递归函数中的最后一个值?

1 年前

malife89 · 将java中的字符串读取为正确的日期格式

1 年前

Tim · 在java中,有没有更快的方法将字节数组写入文件?

1 年前

pebble unit · 如何检查以前缀开头、以后缀结尾的属性(不是属性值)

1 年前

Nuñito Calzada · Spring Boot with JWT:访问此资源需要完全身份验证

1 年前

rudraraj · java中未声明最终变量

1 年前

Bala Ji · 以下BFS的实施效率如何?

1 年前

MineRickStar · 如何在Java中从Windows获取当前选定的应用程序

1 年前

user2649681 · 实时生成音频以写入“SourceDataLine”`

1 年前

davidalayachew · 为什么我的文件有竞争条件,即使我使用了StandardOpenOption。同步?

1 年前