面试题：Java反序列化异常处理：安全性与异常处理的结合

设计原则

输入验证优先：在反序列化之前，对输入数据进行严格验证，确保其来源可靠、格式正确且不包含恶意指令。验证应涵盖数据长度、数据结构、数据类型等多个方面。
最小权限原则：反序列化过程应在最小权限环境下运行，只赋予必要的权限，减少恶意代码执行可能造成的破坏。
异常透明化：处理异常时，避免向外部暴露过多系统信息，防止攻击者利用异常信息进一步探测系统漏洞。

实现方案

输入流验证
- 白名单验证：维护一个合法类的白名单，只允许白名单内的类进行反序列化。在反序列化时，检查输入流中的类是否在白名单中。示例代码如下：

import java.io.*;
import java.util.HashSet;
import java.util.Set;

public class WhitelistObjectInputStream extends ObjectInputStream {
    private static final Set<String> WHITELIST = new HashSet<>();

    static {
        WHITELIST.add("com.example.legitimate.Class1");
        WHITELIST.add("com.example.legitimate.Class2");
    }

    public WhitelistObjectInputStream(InputStream in) throws IOException {
        super(in);
    }

    @Override
    protected Class<?> resolveClass(ObjectStreamClass desc) throws IOException, ClassNotFoundException {
        if (!WHITELIST.contains(desc.getName())) {
            throw new InvalidClassException("Unauthorized deserialization attempt", desc.getName());
        }
        return super.resolveClass(desc);
    }
}

- **数据长度验证**：限制输入流的长度，防止过大的数据导致内存溢出等问题，同时也能阻止恶意构造超长数据进行攻击。

ByteArrayInputStream bais = new ByteArrayInputStream(byteArray);
if (byteArray.length > MAX_ALLOWED_LENGTH) {
    throw new IllegalArgumentException("Input data exceeds maximum allowed length");
}

异常过滤
- 捕获特定异常：在反序列化过程中，只捕获与反序列化直接相关的特定异常，如InvalidClassException、StreamCorruptedException等，避免捕获过于宽泛的Exception，防止掩盖真正的异常原因。

try {
    Object obj = new WhitelistObjectInputStream(inputStream).readObject();
} catch (InvalidClassException | StreamCorruptedException e) {
    // 处理反序列化异常
    log.error("Deserialization error: {}", e.getMessage());
}

- **异常处理日志**：在处理异常时，记录详细的日志，但避免在日志中包含敏感信息。日志应主要用于内部排查问题，而不是向外部攻击者提供线索。

3. 安全沙箱应用 - 使用Java安全管理器：配置Java安全管理器，限制反序列化后的对象所能执行的操作。例如，限制对文件系统、网络等资源的访问。示例代码如下：

System.setSecurityManager(new SecurityManager() {
    @Override
    public void checkRead(String file) {
        // 只允许读取特定目录下的文件
        if (!file.startsWith("/allowed/directory/")) {
            throw new SecurityException("Access to file " + file + " is not allowed");
        }
    }

    @Override
    public void checkConnect(String host, int port) {
        // 只允许连接特定主机和端口
        if (!host.equals("allowed.host.com") || port != 8080) {
            throw new SecurityException("Connection to " + host + ":" + port + " is not allowed");
        }
    }
});

- **自定义沙箱环境**：可以创建一个自定义的沙箱环境，在该环境中运行反序列化后的对象。例如，使用`java.lang.reflect.Proxy`创建代理对象，对方法调用进行拦截和控制，确保对象的行为符合安全策略。

星途面试题库

面试题：Java反序列化异常处理：安全性与异常处理的结合

知识考点

面试题答案

设计原则

实现方案