Безопасность: десериализация сама создаёт объекты классов из потока и вызывает их методы восстановления до любой проверки — из классов в classpath собирают гаджет-цепочку и получают выполнение кода. Плюс обход конструктора (инварианты не проверяются) и форма, намертво привязанная к структуре класса. Вместо — JSON, Protobuf, Avro.
А ещё Громкие уязвимости: Apache Commons Collections, WebLogic, Jenkins
Так подсказку видит пользователь sotto на живом собеседовании — за пару секунд, пока вы думаете вслух.
Главная претензия — безопасность: механизм по построению создаёт произвольные объекты из потока байтов, и в classpath почти всегда находится цепочка классов, которую можно сложить в исполнение команды. Именно поэтому правило звучит категорично: не десериализуйте недоверенные данные. Вторая проблема архитектурная — объект собирается в обход конструктора, значит проверки инвариантов не выполняются, и класс может оказаться в невозможном состоянии. Третья — сериализованная форма становится частью публичного API: переименовали поле и сломали совместимость, что и пытается сгладить serialVersionUID. Рекомендация Блоха однозначна: использовать текстовые или схемные форматы вроде JSON, Protobuf и Avro.
Несколько верных вариантов. Подумайте, потом откройте ответ.
Java serialization и её механика, serialVersionUID, почему её опасно использовать и какие форматы выбирают вместо неё.
sotto слышит вопрос интервьюера и показывает короткий ответ и план, как в блоке «Коротко». Оставьте контакт — пришлём доступ и промокод.
sotto