185.5. Jackson ObjectMapper

jackson은 com.fasterxml.jackson.databind.ObjectMapper 클래스를 사용하여 Java 개체를 직렬화하는 메커니즘을 제공합니다. 예를 들어 다음과 같이 ObjectMapper 를 사용하여 MyClass java 오브젝트를 직렬화할 수 있습니다.

ObjectMapper objectMapper = new ObjectMapper();
MyClass myobject = new MyClass("foo", "bar");
objectMapper.writeValue(new File("myobject.json"), myobject);

개체인 myobject 는 JSON 형식으로 직렬화되고 파일에 기록되며, myobject.json (Jackson은 XML 및 YAML 형식으로의 변환도 지원합니다.)

myobject.json 파일의 JSON 내용을 역직렬화하려면 다음과 같이 ObjectMapper 를 호출할 수 있습니다.

ObjectMapper objectMapper = new ObjectMapper();
MyClass myobject = objectMapper.readValue(new File("myobject.json"), MyClass.class);

수신자는 클래스의 유형을 미리 알고 있어야 하며, readValue() 의 두 번째 인수로 MyClass.class 유형을 지정해야 합니다.

직렬화된 오브젝트를 수신하여 오브젝트의 유형을 미리 알 수 없는 경우도 있습니다. 예를 들어, 이는 다형성 오브젝트 어레이의 경우에 적용됩니다. 추상 유형, Shape 및 해당 하위 유형, Triangle, Cryostat( 및 등)를 고려하십시오.

package com.example;
...
public abstract class Shape {
}

public class Triangle extends Shape {
  ...
}

public class Square extends Shape {
  ...
}

public class ListOfShape {
  public List<Shape> shapes;
  ...
}

다음과 같이 셰이프(ListOfShape)의 배열 목록을 인스턴스화하고 직렬화할 수 있습니다.

ObjectMapper objectMapper = new ObjectMapper();

ListOfShape shapeList = new ListOfShape();
shapeList.shapes = new ArrayList<Shape>();
shapeList.shapes.add(new Triangle());
shapeList.shapes.add(new Square());

String serialized = objectMapper.writeValueAsString(shapeList);

그러나 이제 수신자 측에 문제가 있습니다. 이 유형을 readValue() 의 두 번째 인수로 지정하여 수신자에게 ListOfShape 오브젝트를 예상하도록 지시할 수 있습니다.

MyClass myobject = objectMapper.readValue(serialized, ListOfShape.class);
ObjectMapper objectMapper = new ObjectMapper();

그러나 수신자는 목록의 첫 번째 요소가 트라이글이고 두 번째 요소는 트라이 클 임을 알 수 없습니다. 이 문제를 해결하려면 다음 섹션에 설명된 대로 다형성 오브젝트 매핑 을 활성화해야 합니다.

다형성 개체 매핑은 배열의 개체 유형을 식별하는 직렬화 배열에 추가 메타데이터를 제공하여 추상 클래스의 배열을 직렬화 및 역직렬화할 수 있는 메커니즘입니다. polymorphic object mapping is a mechanism that makes it possible to serialize and deserialize arrays of abstract classes, by providing additional metadata in the serialized array, which identifies the type of the objects in the array.

수신자가 배열의 개체를 역직렬화할 수 있도록 하려면 직렬화된 데이터에 형식 메타데이터를 제공해야 합니다. 기본적으로 jackson은 직렬화된 오브젝트에 대한 유형 메타데이터를 인코딩하지 않으므로 이 기능을 사용하려면 추가 코드를 작성해야 합니다.

다형성 오브젝트 매핑을 활성화하려면 다음 단계를 수행합니다(예로 ListOfShape 사용).

지정된 Java 클래스 com.example.MyClass 가 허용 목록에 지정되지 않은 경우 클래스의 인스턴스를 직렬화할 수는 있지만 수신 측에서는 인스턴스는 일반 기본 매핑을 사용하여 역직렬화됩니다.

jackson에서 다형성 개체 매핑을 사용할 때 오브젝트를 인코딩하는 몇 가지 다른 방법이 있습니다.

JSON 콘텐츠를 역직렬화하여 Java 개체를 인스턴스화하기 위해 Faster XML jackson-databind 라이브러리를 사용하는 애플리케이션은 원격 코드 실행 공격에 취약해질 수 있습니다. 그러나 이 취약점은 자동으로 제공되지 않으며 적절한 완화 조치를 취하는 경우 방지할 수 있습니다.

최소한 공격이 가능하려면 먼저 다음 사전 요구 사항을 충족해야 합니다.