Dubbo3序列化安全问题

序列化安全

在 Dubbo 3.0 中，序列化协议的安全性得到了加强。

Triple 协议:
- 推荐使用 Triple 协议 的非 Wrapper 模式，该模式在安全性上更为严格。
- 需要开发人员编写 IDL（接口描述语言）文件，这虽然增加了开发的复杂性，但提高了序列化的安全性。
- 默认情况下，该协议是安全的，因此适合高安全性需求的应用场景。
Wrapper 模式:
- 允许与其他序列化数据兼容，提供更好的兼容性，但在安全性方面可能存在潜在风险。
- 对于 Hessian2 协议，推荐高安全属性的用户开启白名单模式，以限制可反序列化的类。
- 默认情况下，框架开启了黑名单模式，拦截恶意调用，以增强安全性。

开启 Token 鉴权机制:
- 必须使用其他序列化协议的应用，建议开启 Token 鉴权机制，以防止未授权请求对 Provider 的安全威胁。
- 启用 Token 鉴权时，还需要同时开启注册中心的鉴权功能，以确保整个调用链的安全性。

根据需求选择协议:
- 如果应用对安全性要求高，建议优先考虑使用 Triple 协议的非 Wrapper 模式。
- 对于需要兼容性但安全性要求相对较低的场景，可以使用 Wrapper 模式，但需要开启安全机制。
编写 IDL 文件:
- 对于使用 Triple 协议的项目，建议认真编写 IDL 文件，确保接口的清晰和安全性。
使用 Token 鉴权:
- 确保在项目中实现 Token 鉴权，确保请求来源的可靠性。

Dubbo 3.0 在序列化安全方面的加强是为了应对日益严峻的安全挑战，开发者需要根据实际需求选择合适的序列化协议，并注意实现必要的安全措施，以保护服务的安全性和完整性。

通过 ApplicationConfig 配置:

java">ApplicationConfig applicationConfig = new ApplicationConfig(); applicationConfig.setSerializeCheckStatus("STRICT");

<dubbo:application name="demo-provider" serialize-check-status="STRICT"/>

通过 Spring Properties / dubbo.properties 配置:

java">dubbo.application.serialize-check-status=STRICT

通过 System Property 配置:

java">-Ddubbo.application.serialize-check-status=STRICT

java">INFO utils.SerializeSecurityManager: [DUBBO] Serialize check level: STRICT

在同一进程（Dubbo Framework Model）下，如果多个应用配置了不同的检查模式，最终将生效“最宽松”的级别。例如，若一个配置为 STRICT，另一个为 WARN，则最终生效 WARN 级别。

检查模式:
- 分为两个级别：
  - true：开启检查，拒绝反序列化所有未实现 Serializable 的类。
  - false：关闭检查。
默认配置:
- Dubbo 中默认配置为 true 开启检查。

配置方式:

通过 ApplicationConfig 配置：

java">ApplicationConfig applicationConfig = new ApplicationConfig(); applicationConfig.setCheckSerializable(true);

通过 Spring XML 配置：

java"><dubbo:application name="demo-provider" check-serializable="true"/>

通过 Spring Properties / dubbo.properties 配置：
```
java">dubbo.application.check-serializable=true
```

通过 System Property 配置：

java">-Ddubbo.application.check-serializable=true

java">INFO utils.SerializeSecurityManager: [DUBBO] Serialize check serializable: true

在同一进程下，如果多个应用配置了不同的 Serializable 接口检查模式，最终生效“最宽松”的级别。
目前尚未打通 Hessian2、Fastjson2 内置的 Serializable 检查配置。
对于泛化调用，仅需配置 dubbo.application.check-serializable 修改检查配置。
对于 Hessian2 序列化，需要同时修改 dubbo.application.check-serializable 和 dubbo.hessian.allowNonSerializable 两个配置。
对于 Fastjson2 序列化，目前暂不支持修改。