185.5. jackson ObjectMapper

jackson 提供了一种使用 com.fasterxml.jackson.databind.ObjectMapper 类来序列化 Java 对象的机制。例如，您可以使用 ObjectMapper 序列化 MyClass java 对象，如下所示：

ObjectMapper objectMapper = new ObjectMapper();
MyClass myobject = new MyClass("foo", "bar");
objectMapper.writeValue(new File("myobject.json"), myobject);

对象( myobject )被序列化为 JSON 格式，并写入文件 myobject.json (Jackson 也支持转换为 XML 和 YAML 格式)。

要反序列化文件的 JSON 内容 myobject.json，您可以调用 ObjectMapper，如下所示：

ObjectMapper objectMapper = new ObjectMapper();
MyClass myobject = objectMapper.readValue(new File("myobject.json"), MyClass.class);

请注意，接收器需要预先知道类的类型，且必须指定类型 MyClass.class，作为 readValue （） 的第二个参数。

在某些情况下，序列化对象的接收器无法预先知道对象类型。例如，这适用于 polymorphic 对象数组的情况。考虑抽象类型、Shape 及其子类型、三角 le、Square （等等）：

package com.example;
...
public abstract class Shape {
}

public class Triangle extends Shape {
  ...
}

public class Square extends Shape {
  ...
}

public class ListOfShape {
  public List<Shape> shapes;
  ...
}

您可以实例化并序列化一个数组列表(listOfShape)，如下所示：

ObjectMapper objectMapper = new ObjectMapper();

ListOfShape shapeList = new ListOfShape();
shapeList.shapes = new ArrayList<Shape>();
shapeList.shapes.add(new Triangle());
shapeList.shapes.add(new Square());

String serialized = objectMapper.writeValueAsString(shapeList);

但是现在在接收器端有问题。您可以通过将此类型指定为 readValue （） 的第二个参数来告知接收器预期 ListOfShape 对象：

MyClass myobject = objectMapper.readValue(serialized, ListOfShape.class);
ObjectMapper objectMapper = new ObjectMapper();

但是，接收器不知道列表的第一个元素是 Triangle，第二个元素是 Square。要临时解决这个问题，您需要启用 polymorphic 对象映射， 如下一节所述。

polymorphic 对象映射是一种机制，它可以通过在序列化数组中提供额外元数据来标识阵列中的对象类型，可以序列化和反序列化抽象类。

要使接收器可以反序列化阵列中的对象，需要在序列化数据中提供类型元数据。默认情况下，Jackson 不会对序列化对象的任何类型元数据进行编码，因此您需要编写一些额外的代码才能启用此功能。

要启用 polymorphic 对象映射，请执行以下步骤（使用 ListOfShape 作为示例）：

如果一个给定的 Java 类 com.example.MyClass 没有被白名单，仍然可以序列化类的实例，但在接收端，实例将使用通用的默认映射进行反序列化。

当在 Jackson 中启用 polymorphic 对象映射时，还有一些替代的编码方式：

使用 FasterXML jackson-databind 库的应用程序通过取消序列化 JSON 内容来实例化 Java 对象，可能会受到 远程代码执行攻击的影响。但是，这个漏洞不是自动的，如果您进行适当的缓解方案步骤，可以避免这样做。

在攻击可能前，必须至少满足以下先决条件：