Интерфейс ObjectInputFilter

Предупреждение: Десериализация недоверенных данных по своей природе опасна и должна быть избегаема. Недоверенные данные должны быть тщательно проверены в соответствии с разделом "Сериализация и десериализация" Руководства по защищенному программированию для Java SE. Фильтрация сериализации описывает лучшие практики для защищенного использования фильтров сериализации.

Для защиты от уязвимостей при десериализации разработчики приложений нуждаются в четком описании объектов, которые могут быть десериализованы каждым компонентом или библиотекой. Для каждого контекста и случая использования разработчики должны создавать и применять соответствующий фильтр.

Фабрика и фильтры для фильтрации десериализации

В простых случаях можно установить статический фильтр JVM для всего приложения, не устанавливая фабрику фильтров. Статический фильтр JVM можно установить либо с помощью системной переменной в командной строке, либо вызвав Config.setSerialFilter. Не нужно указывать пользовательскую фабрику фильтров; по умолчанию используется встроенная фабрика фильтров. Встроенная фабрика фильтров предоставляет статический фильтр JVM для каждого ObjectInputStream.

Например, можно установить фильтр, который разрешает классы примеров, разрешает классы в модуле java.base и отклоняет все остальные классы: В качестве системной переменной командной строки:

    % java -Djdk.serialFilter="example.*;java.base/*;!*" ...

    var filter = ObjectInputFilter.Config.createFilter("example.*;java.base/*;!*")
    ObjectInputFilter.Config.setSerialFilter(filter);

В приложении с несколькими контекстами выполнения приложение может предоставить фабрику фильтров, чтобы защитить отдельные контексты, предоставляя настраиваемый фильтр для каждого. При создании потока фабрика фильтров вызывается для определения контекста выполнения из доступной информации, включая текущее состояние потока, иерархию вызывающих сторон, библиотеку, модуль и загрузчик классов. В этот момент политика фабрики фильтров по созданию или выбору фильтров может выбрать конкретный фильтр или состав фильтров на основе контекста. Фабрика фильтров десериализации JVM гарантирует, что контекстно-зависимый фильтр десериализации может быть установлен на каждом ObjectInputStream, и каждый считываемый из потока объект может быть проверен.

Вызов фабрики фильтров

Встроенная фабрика фильтров JVM — это функция, вызываемая при каждом создании ObjectInputStream и при установке контекстно-зависимого фильтра. Параметрами являются текущий фильтр и запрашиваемый фильтр, а возвращаемым значением — используемый фильтр для потока. При вызове из конструкторов ObjectInputStream первый параметр — null, а второй — статический фильтр JVM. При вызове из ObjectInputStream.setObjectInputFilter первый параметр — фильтр, текущий для потока (который был установлен в конструкторе), а второй — фильтр, переданный ObjectInputStream.setObjectInputFilter. Текущий и новый фильтры могут быть null, и фабрика может вернуть null. Обратите внимание, что реализация фабрики фильтров может также использовать любую контекстную информацию, например, извлеченную из контекста потока приложения или его стека вызовов, для составления и объединения нового фильтра. Она не ограничивается только своими двумя параметрами.

Активная фабрика фильтров десериализации либо:

• Приложению настраиваемая фабрика фильтров, заданная через ObjectInputFilter.Config.setSerialFilterFactory(BinaryOperator) или системную переменную jdk.serialFilterFactory или системную переменную безопасности jdk.serialFilterFactory.
• В противном случае встроенная фабрика фильтров десериализации предоставляет статический фильтр JVM при вызове из конструкторов ObjectInputStream и заменяет статический фильтр при вызове из ObjectInputStream.setObjectInputFilter(ObjectInputFilter). См. getSerialFilterFactory.

Фильтры

Метод checkInput(FilterInfo) фильтра вызывается ноль или более раз во время чтения объектов. Этот метод используется для проверки классов, длины каждого массива, количества считываемых из потока объектов, глубины графа и общего количества прочитанных из потока байтов.

Составные фильтры объединяют или проверяют результаты других фильтров. merge(filter, anotherFilter) фильтр объединяет значение статуса двух фильтров. rejectUndecidedClass(filter) проверяет результат фильтра для классов, когда статус равен UNDECIDED. Во многих случаях любой класс, не ALLOWED фильтром, должен быть REJECTED.

Фильтр десериализации определяет, разрешены или отклонены аргументы, и должен возвращать соответствующий статус: ALLOWED или REJECTED. Если фильтр не может определить статус, он должен вернуть UNDECIDED. Фильтры должны быть разработаны для конкретного случая использования и ожидаемых типов. Фильтр, разработанный для определенного использования, может получить класс за пределами области применения фильтра. Если цель фильтра — отклонить классы, то он может отклонить соответствующий класс и сообщить UNDECIDED для других. Фильтр может быть вызван с классом равным null, arrayLength равным -1, глубиной, количеством ссылок и размером потока и возвратить статус, отражающий только одно или только некоторые из значений. Это позволяет фильтру быть конкретным относительно сообщаемого выбора и использовать другие фильтры, не принуждая к статусам «разрешено» или «отклонено».

Примеры моделей фильтров

Для приложения, состоящего из нескольких модулей или библиотек, структуру приложения можно использовать для определения классов, которые нужно разрешать или отклонять каждым ObjectInputStream в каждом контексте приложения. Фабрика фильтров десериализации вызывается при создании каждого потока и может проверить поток или программу, чтобы определить контекстно-зависимый фильтр, который следует применить. Некоторые возможные примеры:

• Локальное состояние потока может содержать фильтр, который необходимо применить или составить с контекстно-зависимым фильтром. Фильтры могут добавляться и удаляться из виртуального стека фильтров, поддерживаемого приложением или библиотеками.
• Фабрика фильтров может определить вызывающую сторону метода десериализации и использовать контекст модуля или библиотеки для выбора фильтра или составления соответствующего контекстно-зависимого фильтра. Механизм может идентифицировать вызывающую сторону с ограниченным или неограниченным доступом к сериализованным классам и соответственно выбрать фильтр.

Пример фильтрации каждой десериализации в потоке

public static final class FilterInThread implements BinaryOperator<ObjectInputFilter> {

    private final ThreadLocal<ObjectInputFilter> filterThreadLocal = new ThreadLocal<>();

    // Construct a FilterInThread deserialization filter factory.
    public FilterInThread() {}

    // Returns a composite filter of the static JVM-wide filter, a thread-specific filter,
    // and the stream-specific filter.
    public ObjectInputFilter apply(ObjectInputFilter curr, ObjectInputFilter next) {
        if (curr == null) {
            // Called from the OIS constructor or perhaps OIS.setObjectInputFilter with no current filter
            var filter = filterThreadLocal.get();
            if (filter != null) {
                // Merge to invoke the thread local filter and then the JVM-wide filter (if any)
                filter = ObjectInputFilter.merge(filter, next);
                return ObjectInputFilter.rejectUndecidedClass(filter);
            }
            return (next == null) ? null : ObjectInputFilter.rejectUndecidedClass(next);
        } else {
            // Called from OIS.setObjectInputFilter with a current filter and a stream-specific filter.
            // The curr filter already incorporates the thread filter and static JVM-wide filter
            // and rejection of undecided classes
            // If there is a stream-specific filter merge to invoke it and then the current filter.
            if (next != null) {
                return ObjectInputFilter.merge(next, curr);
            }
            return curr;
        }
    }

    // Applies the filter to the thread and invokes the runnable.
    public void doWithSerialFilter(ObjectInputFilter filter, Runnable runnable) {
        var prevFilter = filterThreadLocal.get();
        try {
            filterThreadLocal.set(filter);
            runnable.run();
        } finally {
            filterThreadLocal.set(prevFilter);
        }
    }
}

Использование фабрики фильтров

       // Create a FilterInThread filter factory and set
       var filterInThread = new FilterInThread();
       ObjectInputFilter.Config.setSerialFilterFactory(filterInThread);

       // Create a filter to allow example.* classes and reject all others
       var filter = ObjectInputFilter.Config.createFilter("example.*;java.base/*;!*");
       filterInThread.doWithSerialFilter(filter, () -> {
             byte[] bytes = ...;
             var o = deserializeObject(bytes);
       });

Если не указано иное, передача null аргумента методу в этом интерфейсе и его вложенных классах приведет к выбросу NullPointerException.