Apache Dubbo 序列化白名单配置被覆盖问题解析

问题背景

在使用Apache Dubbo 3.2.5版本时，开发者在项目中配置了自定义的序列化白名单(security/serialize.allowlist)，添加了如"benchmark.service.UserServiceResponse"等类名。然而当项目打包部署到远程服务器后，发现配置的白名单被覆盖，导致序列化时出现安全异常。

问题现象

1. 本地开发时，security/serialize.allowlist文件包含自定义类名配置
2. 使用maven-assembly-plugin打包成包含依赖的单一jar后
3. 部署到服务器运行时，发现白名单配置被还原为Dubbo默认内容
4. 导致自定义类无法通过序列化安全检查，抛出InsecureException异常

根本原因

这个问题本质上是由Maven打包机制引起的资源文件冲突：

1. 当使用assembly-plugin打包包含依赖的单一jar时，会将所有依赖jar中的资源文件合并
2. 多个Dubbo依赖jar中都包含security/serialize.allowlist文件
3. 默认情况下，后处理的文件会覆盖先前处理的同名文件
4. 最终打包结果中只保留了最后一个被处理的allowlist文件内容

解决方案

方案一：使用maven-shade-plugin替代assembly-plugin

shade-plugin提供了更精细的资源文件合并控制能力：

<plugin>
    <groupId>org.apache.maven.plugins</groupId>
    <artifactId>maven-shade-plugin</artifactId>
    <version>3.2.4</version>
    <executions>
        <execution>
            <phase>package</phase>
            <goals>
                <goal>shade</goal>
            </goals>
            <configuration>
                <transformers>
                    <transformer implementation="org.apache.maven.plugins.shade.resource.AppendingTransformer">
                        <resource>security/serialize.allowlist</resource>
                    </transformer>
                </transformers>
            </configuration>
        </execution>
    </executions>
</plugin>

方案二：使用资源文件合并策略

对于必须使用assembly-plugin的场景，可以配置资源文件合并策略：

<plugin>
    <artifactId>maven-assembly-plugin</artifactId>
    <configuration>
        <descriptorRefs>
            <descriptorRef>jar-with-dependencies</descriptorRef>
        </descriptorRefs>
        <archive>
            <manifest>
                <mainClass>your.main.Class</mainClass>
            </manifest>
        </archive>
        <containerDescriptorHandlers>
            <containerDescriptorHandler>
                <handlerName>metaInf-services</handlerName>
            </containerDescriptorHandler>
        </containerDescriptorHandlers>
    </configuration>
</plugin>

最佳实践建议

1. 对于Dubbo项目，推荐使用maven-shade-plugin进行打包
2. 如果必须合并多个资源文件，确保使用适当的合并策略
3. 打包后应检查生成的jar文件内容，确认资源文件是否符合预期
4. 对于重要的配置文件，考虑使用外部化配置方式，避免打包时被覆盖

总结

Dubbo框架的序列化安全机制依赖于白名单配置，开发者需要特别注意在打包过程中资源文件的处理方式。通过选择合适的打包工具和配置，可以确保自定义的白名单配置在最终部署包中正确保留，保障系统的安全性和功能的完整性。