文章预览
反序列化漏洞触发根因 使用了危险的类+传入类的参数外部可控 未使用危险的类+类型和传入类型的参数外部可控 第一种情况取决于开发在类中使用了危险的方法，常见于原生反序列化漏洞；第二种情况常见于允许解析外部传入的危险类所导致的，常见于各类组件 jackson介绍 Jackson 是一款流行的 json 解析器，Spring MVC 的默认 json 解析器便是 Jackson。 Jackson 的核心模块由三部分组成。 jackson-core，核心包，提供基于"流模式"解析的相关 API，它包括 JsonPaser 和 JsonGenerator。Jackson 内部实现正是通过高性能的流模式 API 的 JsonGenerator 和 JsonParser 来生成和解析 json。 jackson-annotations，注解包，提供标准注解功能； jackson-databind ，数据绑定包， 提供基于"对象绑定" 解析的相关 API （ ObjectMapper ） 和"树模型" 解析的相关 API （JsonNode）；基于"对象绑定" 解析的 API 和"树模
………………………………
