JDK反序列化時(shí)修改類的全限定性名解析
應(yīng)用場(chǎng)景
SpringSecurityOAuth2有一個(gè)奇葩的設(shè)計(jì)，那就是它將與access_token相關(guān)的所有屬于都封裝到OAuth2AccessToken中，然后保存時(shí)會(huì)直接將該對(duì)象序列化成字節(jié)寫入數(shù)據(jù)庫(kù)。我們?cè)谫Y源服務(wù)器中想要直接讀數(shù)據(jù)庫(kù)來取出access_token來驗(yàn)證令牌的有效性，然而又不想引入SpringSecurity的相關(guān)依賴污染jar包。這時(shí)可以將SpringSecurity中OAuth2AccessToken的唯一實(shí)現(xiàn)類DefaultOAuth2AccessToken的源碼copy到我們的項(xiàng)目中，然后通過JDBC讀取byte[],通過JDK自帶的反序列化機(jī)制來還原DefaultOAuth2AccessToken對(duì)象。這時(shí)就會(huì)遇到問題，即原來的OAuth2AccessToken所在包是以org.springframework.security開頭的，而我們copy過來源碼后，包名是以我們自己定義的包c(diǎn)n.com.XXXX開頭的，這樣在反序列化時(shí)，即使兩個(gè)類的字段完全一樣，但由于字節(jié)流中存儲(chǔ)的類信息的全限定性名不同，也會(huì)導(dǎo)致反序列化失敗。
解決方案
我們可以定義子類繼承JDK的ObjectInputStream，然后重寫readClassDescriptor()方法：
@Override
protected ObjectStreamClass readClassDescriptor() throws IOException, ClassNotFoundException {
ObjectStreamClass read = super.readClassDescriptor();
if (read.getName().startsWith("原包名")) {
Class type = Class.forName(read.getName().replace("新包名"));
return ObjectStreamClass.lookup(type);
}
return read;
}
這樣在反序列化時(shí)就不會(huì)報(bào)錯(cuò)了。原理并不復(fù)雜，其實(shí)就是在解析字節(jié)流時(shí)，將解析后應(yīng)為org.springframework.security.oauth2.common.DefautOAuthToken的class，替換成了我們自己copy過來源碼的cn.com.XXXXXX.DefaultOAuthToken從而達(dá)到”欺騙”的目的。在該場(chǎng)景下，我們就可以做到在資源提供方不引入SpringSecurity框架而只使用SpringSecurityOAuth2的授權(quán)服務(wù)。資源提供方直接讀數(shù)據(jù)庫(kù)來驗(yàn)證令牌的有效性，而不是向授權(quán)服務(wù)查詢。
總結(jié)
以上就是本文關(guān)于JDK反序列化時(shí)修改類的全限定性名解析的全部?jī)?nèi)容，希望對(duì)大家有所幫助。感興趣的朋友可以繼續(xù)參閱本站其它相關(guān)專題，如有不足之處，歡迎留言指出。感謝朋友們對(duì)本站的支持！
相關(guān)文章
java簡(jiǎn)單讀取properties配置文件的方法示例
這篇文章主要介紹了java簡(jiǎn)單讀取properties配置文件的方法,涉及java針對(duì)properties配置的載入及文件屬性讀取相關(guān)操作技巧,需要的朋友可以參考下2017-09-09
針對(duì)利用繼承來實(shí)現(xiàn)通用程序設(shè)計(jì)所產(chǎn)生的問題，泛型提供了更好的解決方案，本文詳細(xì)的介紹了Java泛型的使用與原理，感興趣的可以了解一下2022-03-03
Tomcat 實(shí)現(xiàn)WebSocket詳細(xì)介紹
這篇文章主要介紹了Tomcat 如何實(shí)現(xiàn)WebSocket的相關(guān)資料,對(duì)WebSocket協(xié)議通信的過程進(jìn)行了詳細(xì)介紹，需要的朋友可以參考下2016-12-12
本篇文章給大家?guī)淼膬?nèi)容是關(guān)于java中List集合及其實(shí)現(xiàn)類的方法介紹（附代碼），有一定的參考價(jià)值，有需要的朋友可以參考一下，希望對(duì)你有所幫助。下面我們就來學(xué)習(xí)一下吧,希望能給你帶來幫助2021-06-06
下面小編就為大家?guī)硪黄昝澜鉀QJava中的線程安全問題。小編覺得挺不錯(cuò)的，現(xiàn)在就分享給大家，也給大家做個(gè)參考。一起跟隨小編過來看看吧2017-08-08
本文主要介紹了java生成mvt切片的方法實(shí)現(xiàn)，文中通過示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧2023-07-07
IDEA mybatis-generator逆向工程生成代碼
這篇文章主要介紹了IDEA mybatis-generator逆向工程生成代碼，小編覺得挺不錯(cuò)的，現(xiàn)在分享給大家，也給大家做個(gè)參考。一起跟隨小編過來看看吧2018-06-06
Springboot集成定時(shí)器和多線程異步處理操作
這篇文章主要介紹了Springboot集成定時(shí)器和多線程異步處理操作，具有很好的參考價(jià)值，希望對(duì)大家有所幫助。一起跟隨小編過來看看吧2020-09-09
Java中IO流之字符流與字節(jié)流的轉(zhuǎn)換方式
在Java中,字節(jié)流與字符流是處理數(shù)據(jù)的兩種方式,字節(jié)流適用于處理各種數(shù)據(jù)類型,如圖片、音頻等非文本數(shù)據(jù),而字符流專門用于處理文本數(shù)據(jù),Java提供了InputStreamReader和OutputStreamWriter這兩個(gè)類來實(shí)現(xiàn)字節(jié)流向字符流的轉(zhuǎn)換2024-10-10
這篇文章主要為大家詳細(xì)介紹了Spring jndi數(shù)據(jù)源的配置方法，具有一定的參考價(jià)值，感興趣的小伙伴們可以參考一下解2017-07-07