fastjson 又爆 bug 了!快来看看是否受影响

[qqqccc]

https://github.com/alibaba/fastjson/wiki/security_update_20200601

是否对你的业务有影响呢?

[marcong95]

@onikage #16 JSONObject 理论上是个哈希表，应该是不保证顺序的，需要签名的场景一般不都是要先做排序的吗

[wobuhuicode]

@onikage 明显是你自己对于 json 理解有问题。还能反咬一口框架

[axbx]

@onikage 哈哈，上周也是遇到同样的问题

[yuzo555]

@onikage 本来就是没有顺序的，还有的语言每次请求都随机顺序输出呢...

[GM]

@onikage 签名要自己做排序，这是常识。不然的话，出错是必然，工作正常只是偶然（碰巧能正常工作）。

[redtea]

那么到底该用哪个，更安全，性能更好？

[beidounanxizi]

fastjson 这个破 json 序列化和反序列化 遵守 json 规范么? 还有号称的性能 呵呵哒
用 jackson 不好么

[whoami9894]

@AngryMagikarp
因为它支持 @type 把 JSON 映射到对象

[TomDu]

@sagaxu 官方有什么声明吗？我用得还挺多的= =

[beidounanxizi]

@onikage 这个是你自己个人没保证顺序的原因

[heiheidewo]

一个 json 解析还这么多 bug

[hantsy]

@qwerthhusn Jackson 同样支持底层的强大 Node 操作（类似 Object, Array 操作非常简单），也支持高级的 Mapping，而且还支持 XML Mapping 。 还支持其它一些不太常见的格式。在 marshall/unmarshall 操作上，几乎是功能最全面的，在 Spring 是默认方案。

现在的 JSON-P，JSON-B 标准受 Jackson，Gson，JAXB 等影响很大。

[hantsy]

喜欢手动装配，用 JSON-P 标准就好了，https://github.com/hantsy/helidon-sample/blob/master/se-start/src/main/java/com/example/EntityUtils.java

[Kyle18Tang]

Jackson 它不香么

[sagaxu]

@TomDu 之前看到 gson 作者说过，开发基本上是停止了

[keshawnvan]

JSON 反序列化用哪个库漏洞都很多，都需要经常更新

[Vedar]

有点搞吧 验签排序确实是要做 但是你一个 json 库自作主张去排序就有毒了 这还能洗？

[Meltdown]

龟速的 json 有 bug 么

[sayuria]

@AngryMagikarp
比如一只猫，序列化之后是 binary 序列。binary 是没有可读性的，看起来就是一堆乱码。
这时候黑客把一只狗序列化成 binary 序列，替换掉猫的序列。
json 反序列化之后，就会去执行狗的反序列后的代码。

[kiddult]

@Vedar 不是去排序，而是这个对象映射是 map，本身就是无序的