文档章节

Java代码审计-访问说明符操作 f.setAccessible(true);

o
 osc_wws45aot
发布于 2019/08/20 18:54
字数 790
阅读 46
收藏 0

精选30+云产品,助力企业轻松上云!>>>

 

 Java代码说明:

    f.setAccessible(true)1、提高性能2、访问私有private变量的时候

    Accessable属性是继承自AccessibleObject 类. 功能是启用或禁用安全检查 (实际上setAccessible是启用和禁用访问安全检查的开关,并不是为true就能访问为false就不能访问的意思 )。

 

  A、提高性能

    由于JDK的安全检查耗时较多.所以通过setAccessible(true)的方式关闭安全检查就可以达到提升反射速度的目的 。使用了method.setAccessible(true)后,性能有了20倍的提升。

  B、访问私有private变量的时候

    java代码中,常常将一个类的成员变量置为private,在类的外面获取此类的私有成员变量的value时,需要注意setAccessible(true)否则或报错:can not access a member of.......

    一般情况下,我们并不能对类的私有字段进行操作,利用反射也不例外,但有的时候,例如要序列化的时候,我们又必须有能力去处理这些字段,这时候,我们就需要调用AccessibleObject上的setAccessible()方法来允许这种访问,而由于反射类中的Field,Method和Constructor继承自AccessibleObject,因此,通过在这些类上调用setAccessible()方法,我们可以实现对这些字段的操作。

 

代码示例:

  Class cls = object.getClass();

  Field[] fields = cls.getDeclaredFields();

  //getDeclaredFields()返回Class中所有的字段,包括私有字段。//getFields  只返回公共字段,即有public修饰的字段。

  for (Field field : fields) {

    field.setAccessible(true);

    map.put(field.getName(), field.get(object));

  }

 

 代码审计 解释说明:

  JDK API中的解释 :

  1、AccessibleObject 类是 Field、Method 和 Constructor 对象的基类。它提供了将反射的对象标记为在使用时取消默认 Java 语言访问控制检查的能力。

  2、对于公共成员、默认(打包)访问成员、受保护成员和私有成员,在分别使用 Field、Method 或 Constructor 对象来设置或获得字段、调用方法,或者创建和初始化类的新实例的时候,会执行访问检查。 

  AccessibleObject类 允许程序员绕过 由Java访问说明符提供的 访问控制(access control)检查,特别是他让程序员能够允许 反射对象绕过 Java access control,并反过来更改私有字段或调用私有方法、行为,这些通常情况下都是不允许的

  个人觉得只要Field.setAccessible(true)之后,Class中所有的字段,包括私有字段也可以有访问权限,这样的反射会改变JAVA的结构,

        甚至你的代码可维护性,你完全可以 改别的代码里面的值 ,所以通过反射能做一些让你无法想象的东西。最好可以避免这样的设置,以增强代码的安全性,减少其脆弱性及缺陷。

  

  ★ 修复建议:

       只能使用攻击者无法设置的参数,通过有权限的类更改访问说明符。所有出现的访问说明符都应该仔细检查。

 ————————————————

参考文章:

https://www.cnblogs.com/fanguangdexiaoyuer/p/6548171.html 

https://blog.csdn.net/kjfcpua/article/details/8496911 

 

o
粉丝 0
博文 500
码字总数 0
作品 0
私信 提问
加载中
请先登录后再评论。

暂无文章

【软件工具篇02】使用Anki克服遗忘曲线

使用Anki克服遗忘曲线 艾宾浩斯遗忘曲线 百度百科:遗忘曲线由德国心理学家艾宾浩斯研究发现,描述了人类大脑对新事物遗忘的规律。人体大脑对新事物遗忘的循序渐进的直观描述,人们可以从遗...

osc_wobxrheh
18分钟前
0
0
面向对象的理解

面向对象的三大特性 封装 继承 多态 面向对象的七大原则 单一职责原则:每一个类应该专注于做一件事情。即高内聚,低耦合。类的功能要单一,体积不要过于庞大。 开闭原则:一个对象对扩展开发...

osc_2wq8ft8d
19分钟前
11
0
Laravel Redis分布式锁实现源码分析

首先是锁的抽象类,定义了继承的类必须实现加锁、释放锁、返回锁拥有者的方法。 namespace Illuminate\Cache;abstract class Lock implements LockContract{ use InteractsWithTime;...

osc_2jegjdnw
21分钟前
0
0
【HDFS篇03】HDFS客户端操作 --- 开发环境准备

存储越困难,提取越容易 HDFS客户端操作---开发环境准备 步骤一:编译对应HadoopJar包,配置Hadoop变量 步骤二:创建Maven工程,导入pom依赖 <dependencies><dependency><groupId>ju...

osc_ds5ni1ur
22分钟前
7
0
老板,来瓶辣椒酱

最近网剧《隐秘的角落》非常的火爆,结局反转让人难以预料,但前两天发生了一场堪比史诗级大片的纠纷,纠纷的结局反转让人大跌眼镜,估计是神编剧都写不出来那样的剧本...而引发这场纠纷最核...

osc_1loi8uc4
24分钟前
17
0

没有更多内容

加载失败,请刷新页面

加载更多

返回顶部
顶部