185.5. Jackson ObjectMapper

jackson 提供了使用 com.fasterxml.jackson.databind.ObjectMapper 类序列化 Java 对象的机制。例如，您可以使用 ObjectMapper 序列化 MyClass java 对象，如下所示：

ObjectMapper objectMapper = new ObjectMapper();
MyClass myobject = new MyClass("foo", "bar");
objectMapper.writeValue(new File("myobject.json"), myobject);

对象 myobject 将被序列化为 JSON 格式并写入文件 myobject.json (Jackson 也支持转换为 XML 和 YAML 格式)。

要反序列化文件的 JSON 内容 myobject.json，您可以调用 ObjectMapper，如下所示：

ObjectMapper objectMapper = new ObjectMapper();
MyClass myobject = objectMapper.readValue(new File("myobject.json"), MyClass.class);

请注意，接收器需要提前知道类的类型，并且必须指定 type MyClass.class，作为 readValue （） 的第二个参数。

在某些情况下，序列化对象的接收器无法预先知道对象类型。例如，这适用于 polymorphic 对象数组的情况。考虑抽象类型、Shape、子类型、Triangle、Square （等等）：

package com.example;
...
public abstract class Shape {
}

public class Triangle extends Shape {
  ...
}

public class Square extends Shape {
  ...
}

public class ListOfShape {
  public List<Shape> shapes;
  ...
}

您可以实例化并序列化一个表单列表(ListOfShape)，如下所示：

ObjectMapper objectMapper = new ObjectMapper();

ListOfShape shapeList = new ListOfShape();
shapeList.shapes = new ArrayList<Shape>();
shapeList.shapes.add(new Triangle());
shapeList.shapes.add(new Square());

String serialized = objectMapper.writeValueAsString(shapeList);

但是，在接收器一侧出现问题。您可以将这个类型指定为 readValue （） 的第二个参数来告知接收器预期 ListOfShape 对象：

MyClass myobject = objectMapper.readValue(serialized, ListOfShape.class);
ObjectMapper objectMapper = new ObjectMapper();

但是，接收器无法知道列表的第一个元素是 Triangle，第二个元素是 Square。要临时解决这个问题，您需要启用 polymorphic 对象映射， 如下一节所述。

polymorphic 对象映射是一种机制，可通过在序列化数组中提供额外的元数据来识别阵列中对象的类型，从而序列化和反序列化数组。

要使接收器可以反序列化阵列中的对象，需要在序列化数据中提供类型元数据。默认情况下，Jackson 不会对序列化对象的任何类型元数据进行编码，因此您需要编写一些额外的代码来启用此功能。

要启用 polymorphic 对象映射，请执行以下步骤（使用 ListOfShape 作为示例）：

如果给定的 Java 类 com.example.MyClass 未列入白名单，则仍有可能对类序列化实例，但在接收端，将使用通用默认映射来反序列化实例。

当在 Jackson 中启用 polymorphic 对象映射时，有几个替代方法对对象进行编码：

使用 FasterXML jackson-databind 库通过反序列化 JSON 内容来实例化 Java 对象的应用程序可能会受到 远程代码执行攻击的影响。此漏洞不是自动的，但如果您采取适当的缓解方案步骤，可以避免此漏洞。

在攻击成为可能前，至少需要满足以下先决条件：