fastjson 又爆 bug 了!快来看看是否受影响

[qqqccc]

https://github.com/alibaba/fastjson/wiki/security_update_20200601

是否对你的业务有影响呢?

[jk1030]

bugjson

[sagaxu]

出于什么考量用这个库呢？

[raphael008]

jackson 不香吗？

[qwerthhusn]

感觉这个库从 N 多年前就各种各样安全漏洞。。。

但是 jackson 的话，不支持 JSONArray 和 JSONObject 抽象。
有时候不想对某些 json 再做模型定义，然后用 JsonNode 的 API 太麻烦，全程用 LinkedHashMap 和 ArrayList 写起来也不太好看。

[yty2012g]

已经因为 bugjson，升了 N 次版本了。。。

[AngryMagikarp]

没用过，不过很奇怪，一个 JSON 库什么会有安全漏洞...

[smartdone]

@AngryMagikarp 反序列化

[GM]

@qwerthhusn JsonNode 很好用，超级方便，你是没领悟到它正确用法。

[movistar]

Jackson 也一堆漏洞,经常有报 case....
别以为用 jackson 就安全啊.....

[ZSeptember]

@raphael008 哈哈哈哈，jackson 多少安全漏洞，国内没有报导而已。

[micean]

没影响，一直是 jackson

[ixx]

@AngryMagikarp #6 因为 json 会用在参数解析上，可以构建特殊 json 远程执行代码....

[echo1937]

Spring 自带 Jackson，我又不喜欢额外引入过多依赖，一直就用 Jackson 了。

这样有漏洞修补起来也轻松，直接升级 Spring 就行。

[qwerthhusn]

@GM 额，我理解错了，我一直以为 JsonNode 就是那种 Low-Level 的语法，要解析各种 Token，刚刚仔细看了一下，和 fastjson 的 JSONArray 和 JSONObject 是类似的。。。。。。不过这套 API 没有 getArrayNode()或者 getObjectNode()，必须要先 get()获取父类，只能强转（或者用 instanceof 或者 getNodeType()检查一下）

从今天开始，fastjson 对我来说，一点用都没了！！！我负责的项目下一个 milestone 中有一项就是 get rid of bugjson

[Kamiyu0087]

所以 FastJSON 和 Jackson 都不能用？
那么 GSON 如何呢？

[onikage]

上周五也被 bugjson 坑了, {"value":1,"id":2}, 在 bugjson 转一遍输出就变成{"id":2,"value":1}了, 信息没丢,但是在有签名的场景这完全是两个字符串. 不知道为什么这么多人迷信这玩意.

[murmur]

@onikage 所以说你传 json 不会传字符串么，验签后再反序列化

[sagaxu]

@Kamiyu0087 gson 官方已经弃坑了

[sagaxu]

@onikage object 本就是无序的，签名前先排序不是常识吗？

[iFlicker]

JSONObject 呢