enable |
您所在的位置：网站首页 › fastjson safemode启用检查 › enable |
|
打开AutoType功能
在1.2.25之后的版本，以及所有的.sec01后缀版本中，autotype功能是受限的，和之前的版本不同，如果在升级的过程中遇到问题，可以通过以下方法配置。 注意：如果配置了safeMode，配置白名单也是不起作用的。 一、添加autotype白名单添加白名单有三种方式，三选一，如下: 1. 在代码中配置 ParserConfig.getGlobalInstance().addAccept("com.taobao.pac.client.sdk.dataobject.");如果有多个包名前缀，分多次addAccept 2. 加上JVM启动参数 -Dfastjson.parser.autoTypeAccept=com.taobao.pac.client.sdk.dataobject.,com.cainiao.如果有多个包名前缀，用逗号隔开 3. 通过fastjson.properties文件配置。在1.2.25/1.2.26版本支持通过类路径的fastjson.properties文件来配置，配置方式如下： fastjson.parser.autoTypeAccept=com.taobao.pac.client.sdk.dataobject.,com.cainiao. // 如果有多个包名前缀，用逗号隔开 二、打开autotype功能如果通过配置白名单解决不了问题，可以选择继续打开autotype功能，fastjson在新版本中内置了多重防护，但是还是可能会存在一定风险。两种方法打开autotype，二选一，如下： 1、JVM启动参数 -Dfastjson.parser.autoTypeSupport=true 2、代码中设置 ParserConfig.getGlobalInstance().setAutoTypeSupport(true);如果有使用非全局ParserConfig则用另外调用setAutoTypeSupport(true)； 三、配置autoType黑名单打开AutoType之后，是基于内置黑名单来实现安全的，但黑名单是穷举不完的，如果发现了新的风险类，可以通过以下配置来增加黑名单： 1. 配置JVM启动参数 -Dfastjson.parser.deny=xx.xxx 这里的xx.xxx是包名前缀，如果有多个包名前缀，用逗号隔开 2. 通过fastjson.properties来配置在1.2.25之后的版本支持通过类路径的fastjson.properties文件来配置，配置方式如下： -Dfastjson.parser.deny=xx.xxx 这里的xx.xxx是包名前缀，如果有多个包名前缀，用逗号隔开 3. 代码中配置 ParserConfig.getGlobalInstance().addDeny("xx.xxx"); 这里的xx.xxx是包名前缀，如果有多个包名前缀，用逗号隔开 |
今日新闻 |
点击排行 |
|
推荐新闻 |
图片新闻 |
|
专题文章 |
| CopyRight 2018-2019 实验室设备网 版权所有 win10的实时保护怎么永久关闭 |