序列化必须灭亡！

在谈及随机对象序列化造成的安全问题时，本文作者 Arshan Dabirsiaghi 建议五大性能指标，来帮我们评估企业 Java 应用的健康状况。@frohoff、@gebl 与 @breenmachine 同心协力解决 Java安全问题（本文将其归于“序列盛会”这一术语之下），笔者却想到了反序列化备选方案。我们的客户将何去何从？他们是否有更光明的未来？本文将一一为你探明。在作者看来：未来一片黑暗，伸手不见五指。
在本文中，我们将会了解一下Kyro这个“走在时尚尖端的”序列化数据库。众所周知，Kryo 这一框架已被用于众多知名软件，但Kryo同时也是一个数据库，一个可能被众多下游企业所用的数据库。下面将会细细分解，本文系国内 ITOM 管理平台 OneAPM 编译整理。

水中鱼儿何其多

Kryo 令人惊异之处在于，你可以用它来序列化或反序列化任何 Java 类型，未必只能是那些标记有 java.io.Serializable 的类型。在很多情况下，这大大简化了开发，例如对已有特征或无法控制的特征进行序列化。

若你使用 Kryo 来反序列化某个对象，必须声明所期望的类型。下面是一个示例：

// serializingKryo kryo = new Kryo();

AcmeMessage message = buildAcmeMessage(); // some domain objectOutput out = new Output(response.getOutputStream())

kryo.writeObject(out, myObject);// deserializingInput in = new Input(request.getInputStream());

AcmeMessage message = kryo.readObject(in, AcmeMessage.class);

至少对于 Java 对象序列化规范而言，这一 API 设计是一大进步。此规范强制用户将攻击者发送的所有内容反序列化，然后用户只好祈祷以后要查找的内容莫遭池鱼之殃 - 这未免有些荒谬了。这是攻击者遇到的第一重障碍：如何诱骗用户反序列化任意类型？

偷梁换柱

这一陷阱其实较易避开。在现实生活中，人们反复发送的任何域对象都具有集合 - 映射、列表、数组或类似数据。考虑一下以下示例对象：

/* AcmeMessage.java */private List recipients;

要紧之处便不会存在 这段代码。唯一要紧的是编译时间。攻击发生时，我正处在运行环境中。这意味着，对我们而言，应当转而按照这种方式来理解代码：

/* AcmeMessage.java */private List