解決使用Redis時配置 fastjson反序列化報錯 com.alibaba.fastjson.JSONException: autoType is not support

1.問題描述

　　在使用redis時，配置自定義序列化redisTemplate為FastJsonRedisSerializer . 

/**
     * 自定義redis序列化器
     */
    @SuppressWarnings("unchecked")
    @Bean("redisTemplate")
    public RedisTemplate<Object, Object> redisTemplate(RedisConnectionFactory factory) {

        RedisTemplate<Object, Object> template = new RedisTemplate<>();
        // 配置連接工廠
        template.setConnectionFactory(factory);

        // 使用fastJson序列化
        FastJsonRedisSerializer fastJsonRedisSerializer = new FastJsonRedisSerializer(Object.class);

        // key的序列化采用StringRedisSerializer
        StringRedisSerializer stringRedisSerializer = new StringRedisSerializer();
        template.setKeySerializer(stringRedisSerializer);
        template.setHashKeySerializer(stringRedisSerializer);

        // value值的序列化采用fastJsonRedisSerializer
        template.setValueSerializer(fastJsonRedisSerializer);
        template.setHashValueSerializer(fastJsonRedisSerializer);

        return template;
    }

　　redis中數據結構為：{"@type":"com.***.UserEntity","id":"1177881490377158658","nickName":"test"}　　

　　在反序列化時報錯 com.alibaba.fastjson.JSONException: autoType is not support.

二.原因分析

　　2017年3月15日，fastjson官方發布安全升級公告，該公告介紹fastjson在1.2.24及之前的版本存在代碼執行漏洞，當惡意攻擊者提交一個精心構造的序列化數據到服務端時，由於fastjson在反序列化時存在漏洞，可導致遠程任意代碼執行。
　　自1.2.25及之后的版本，禁用了部分autotype的功能，也就是”@type”這種指定類型的功能會被限制在一定范圍內使用。
　　而由於反序列化對象時，需要檢查是否開啟了autotype。所以如果反序列化檢查時，autotype沒有開啟，就會報錯。 

三.解決辦法

　　官方給出的開啟autotype的方法：enable_autotype

　　我采用的第一種：在代碼中配置白名單

import com.alibaba.fastjson.JSON;
import com.alibaba.fastjson.parser.ParserConfig;
import com.alibaba.fastjson.serializer.SerializerFeature;
import org.springframework.data.redis.serializer.RedisSerializer;
import org.springframework.data.redis.serializer.SerializationException;

import java.nio.charset.Charset;

/**
 * 自定義redis序列化
 * 
 * @param <T>
 * @author xhq
 * @version 1.0
 * @date 2019年11月15日
 */
public class FastJsonRedisSerializer<T> implements RedisSerializer<T> {

    private static final Charset DEFAULT_CHARSET = Charset.forName("UTF-8");
    private Class<T> clazz;

    /**
     * 添加autotype白名單
     * 解決redis反序列化對象時報錯 ：com.alibaba.fastjson.JSONException: autoType is not support
     */
    static {
        ParserConfig.getGlobalInstance().addAccept("com.***.UserEntity"); 28     }

    public FastJsonRedisSerializer(Class<T> clazz) {
        super();
        this.clazz = clazz;
    }

    @Override
    public byte[] serialize(T t) throws SerializationException {
        if (null == t) {
            return new byte[0];
        }
        return JSON.toJSONString(t, SerializerFeature.WriteClassName).getBytes(DEFAULT_CHARSET);
    }

    @Override
    public T deserialize(byte[] bytes) throws SerializationException {
        if (null == bytes || bytes.length <= 0) {
            return null;
        }
        String str = new String(bytes, DEFAULT_CHARSET);
        return JSON.parseObject(str, clazz);
    }

}