面试题：Java中Java反序列化与JSON数据格式安全性之常见漏洞

Java反序列化常见安全漏洞

代码执行漏洞：
- 当反序列化过程中使用了不安全的类库，攻击者可以构造恶意序列化数据，在反序列化时触发执行恶意代码。例如，一些类库在反序列化时会调用特定方法，若这些方法没有严格校验输入，攻击者可通过控制序列化数据来执行任意代码，如执行系统命令等。
远程代码执行（RCE）漏洞：
- 在网络环境下，若反序列化操作处理来自不可信源的数据，攻击者可以利用反序列化漏洞，将恶意序列化数据发送到服务器，服务器在反序列化时执行恶意代码，从而实现远程控制服务器，获取敏感信息或进行进一步的攻击。
拒绝服务（DoS）攻击：
- 攻击者可以构造超大的序列化数据，在反序列化过程中会占用大量系统资源（如内存、CPU等），导致服务器响应缓慢甚至服务停止，无法正常为其他用户提供服务。例如，恶意构造包含大量嵌套对象的序列化数据，在反序列化时进行深度递归解析，耗尽系统资源。

处理JSON数据格式防止数据被恶意篡改的方法

数据签名：
- 在发送JSON数据前，使用密钥对数据进行签名（如使用HMAC算法）。接收方收到数据后，使用相同的密钥对数据重新计算签名，并与发送方发送的签名进行比对。如果签名一致，则说明数据未被篡改；否则，数据可能已被恶意修改。
- 示例代码（Java使用HmacSHA256算法签名）：

import javax.crypto.Mac;
import javax.crypto.spec.SecretKeySpec;
import java.nio.charset.StandardCharsets;
import java.security.SignatureException;

public class JsonSignature {
    private static final String HMAC_SHA256 = "HmacSHA256";
    private static final String SECRET_KEY = "your_secret_key";

    public static String sign(String data) throws SignatureException {
        try {
            Mac sha256Hmac = Mac.getInstance(HMAC_SHA256);
            SecretKeySpec secretKey = new SecretKeySpec(SECRET_KEY.getBytes(StandardCharsets.UTF_8), HMAC_SHA256);
            sha256Hmac.init(secretKey);
            byte[] signedBytes = sha256Hmac.doFinal(data.getBytes(StandardCharsets.UTF_8));
            return bytesToHex(signedBytes);
        } catch (Exception e) {
            throw new SignatureException("Failed to generate signature", e);
        }
    }

    private static String bytesToHex(byte[] bytes) {
        StringBuilder hexString = new StringBuilder();
        for (byte b : bytes) {
            hexString.append(String.format("%02x", b));
        }
        return hexString.toString();
    }

    public static boolean verify(String data, String signature) throws SignatureException {
        String expectedSignature = sign(data);
        return expectedSignature.equals(signature);
    }
}

使用JSON Schema验证：
- 定义JSON Schema来描述合法的JSON数据结构和数据类型。在接收JSON数据后，使用JSON Schema验证库（如Jackson Schema Validator等）对数据进行验证。只有符合Schema定义的数据才被认为是合法的，从而防止恶意篡改数据导致的数据结构混乱。
- 示例JSON Schema定义：

{
    "type": "object",
    "properties": {
        "name": {
            "type": "string"
        },
        "age": {
            "type": "number"
        }
    },
    "required": ["name", "age"]
}

加密传输：
- 在传输JSON数据时，使用加密协议（如HTTPS）对数据进行加密。这样，即使数据在传输过程中被截取，攻击者也无法直接获取和篡改数据内容，因为数据是加密状态的。HTTPS通过SSL/TLS协议对数据进行加密和解密，保证数据的保密性和完整性。

星途面试题库

面试题：Java中Java反序列化与JSON数据格式安全性之常见漏洞

知识考点

面试题答案

Java反序列化常见安全漏洞

处理JSON数据格式防止数据被恶意篡改的方法