真实的国产乱ⅩXXX66竹夫人,五月香六月婷婷激情综合,亚洲日本VA一区二区三区,亚洲精品一区二区三区麻豆

成都創(chuàng)新互聯(lián)網(wǎng)站制作重慶分公司

JDK反序列化時修改類全限定性名的示例分析-創(chuàng)新互聯(lián)

小編給大家分享一下JDK反序列化時修改類全限定性名的示例分析,希望大家閱讀完這篇文章之后都有所收獲,下面讓我們一起去探討吧!

創(chuàng)新互聯(lián)公司專注于崗巴網(wǎng)站建設(shè)服務(wù)及定制,我們擁有豐富的企業(yè)做網(wǎng)站經(jīng)驗。 熱誠為您提供崗巴營銷型網(wǎng)站建設(shè),崗巴網(wǎng)站制作、崗巴網(wǎng)頁設(shè)計、崗巴網(wǎng)站官網(wǎng)定制、成都微信小程序服務(wù),打造崗巴網(wǎng)絡(luò)公司原創(chuàng)品牌,更為您提供崗巴網(wǎng)站排名全網(wǎng)營銷落地服務(wù)。

應(yīng)用場景

SpringSecurityOAuth3有一個奇葩的設(shè)計,那就是它將與access_token相關(guān)的所有屬于都封裝到OAuth3AccessToken中,然后保存時會直接將該對象序列化成字節(jié)寫入數(shù)據(jù)庫。我們在資源服務(wù)器中想要直接讀數(shù)據(jù)庫來取出access_token來驗證令牌的有效性,然而又不想引入SpringSecurity的相關(guān)依賴污染jar包。這時可以將SpringSecurity中OAuth3AccessToken的唯一實現(xiàn)類DefaultOAuth3AccessToken的源碼copy到我們的項目中,然后通過JDBC讀取byte[],通過JDK自帶的反序列化機制來還原DefaultOAuth3AccessToken對象。這時就會遇到問題,即原來的OAuth3AccessToken所在包是以org.springframework.security開頭的,而我們copy過來源碼后,包名是以我們自己定義的包cn.com.XXXX開頭的,這樣在反序列化時,即使兩個類的字段完全一樣,但由于字節(jié)流中存儲的類信息的全限定性名不同,也會導(dǎo)致反序列化失敗。

解決方案

我們可以定義子類繼承JDK的ObjectInputStream,然后重寫readClassDescriptor()方法:

@Override
    protected ObjectStreamClass readClassDescriptor() throws IOException, ClassNotFoundException {
	ObjectStreamClass read = super.readClassDescriptor();
	if (read.getName().startsWith("原包名")) {
		Class type = Class.forName(read.getName().replace("新包名"));
		return ObjectStreamClass.lookup(type);
	}
	return read;
}

這樣在反序列化時就不會報錯了。原理并不復(fù)雜,其實就是在解析字節(jié)流時,將解析后應(yīng)為org.springframework.security.oauth3.common.DefautOAuthToken的class,替換成了我們自己copy過來源碼的cn.com.XXXXXX.DefaultOAuthToken從而達(dá)到”欺騙”的目的。在該場景下,我們就可以做到在資源提供方不引入SpringSecurity框架而只使用SpringSecurityOAuth3的授權(quán)服務(wù)。資源提供方直接讀數(shù)據(jù)庫來驗證令牌的有效性,而不是向授權(quán)服務(wù)查詢。

看完了這篇文章,相信你對“JDK反序列化時修改類全限定性名的示例分析”有了一定的了解,如果想了解更多相關(guān)知識,歡迎關(guān)注創(chuàng)新互聯(lián)行業(yè)資訊頻道,感謝各位的閱讀!


網(wǎng)站題目:JDK反序列化時修改類全限定性名的示例分析-創(chuàng)新互聯(lián)
文章網(wǎng)址:http://weahome.cn/article/dchsjs.html

其他資訊

在線咨詢

微信咨詢

電話咨詢

028-86922220(工作日)

18980820575(7×24)

提交需求

返回頂部