首页
/ Apache Dubbo 序列化白名单配置被覆盖问题解析

Apache Dubbo 序列化白名单配置被覆盖问题解析

2025-05-02 22:00:22作者:尤辰城Agatha

问题背景

在使用Apache Dubbo 3.2.5版本时,开发者在项目中配置了自定义的序列化白名单(security/serialize.allowlist),添加了如"benchmark.service.UserServiceResponse"等类名。然而当项目打包部署到远程服务器后,发现配置的白名单被覆盖,导致序列化时出现安全异常。

问题现象

  1. 本地开发时,security/serialize.allowlist文件包含自定义类名配置
  2. 使用maven-assembly-plugin打包成包含依赖的单一jar后
  3. 部署到服务器运行时,发现白名单配置被还原为Dubbo默认内容
  4. 导致自定义类无法通过序列化安全检查,抛出InsecureException异常

根本原因

这个问题本质上是由Maven打包机制引起的资源文件冲突:

  1. 当使用assembly-plugin打包包含依赖的单一jar时,会将所有依赖jar中的资源文件合并
  2. 多个Dubbo依赖jar中都包含security/serialize.allowlist文件
  3. 默认情况下,后处理的文件会覆盖先前处理的同名文件
  4. 最终打包结果中只保留了最后一个被处理的allowlist文件内容

解决方案

方案一:使用maven-shade-plugin替代assembly-plugin

shade-plugin提供了更精细的资源文件合并控制能力:

<plugin>
    <groupId>org.apache.maven.plugins</groupId>
    <artifactId>maven-shade-plugin</artifactId>
    <version>3.2.4</version>
    <executions>
        <execution>
            <phase>package</phase>
            <goals>
                <goal>shade</goal>
            </goals>
            <configuration>
                <transformers>
                    <transformer implementation="org.apache.maven.plugins.shade.resource.AppendingTransformer">
                        <resource>security/serialize.allowlist</resource>
                    </transformer>
                </transformers>
            </configuration>
        </execution>
    </executions>
</plugin>

方案二:使用资源文件合并策略

对于必须使用assembly-plugin的场景,可以配置资源文件合并策略:

<plugin>
    <artifactId>maven-assembly-plugin</artifactId>
    <configuration>
        <descriptorRefs>
            <descriptorRef>jar-with-dependencies</descriptorRef>
        </descriptorRefs>
        <archive>
            <manifest>
                <mainClass>your.main.Class</mainClass>
            </manifest>
        </archive>
        <containerDescriptorHandlers>
            <containerDescriptorHandler>
                <handlerName>metaInf-services</handlerName>
            </containerDescriptorHandler>
        </containerDescriptorHandlers>
    </configuration>
</plugin>

最佳实践建议

  1. 对于Dubbo项目,推荐使用maven-shade-plugin进行打包
  2. 如果必须合并多个资源文件,确保使用适当的合并策略
  3. 打包后应检查生成的jar文件内容,确认资源文件是否符合预期
  4. 对于重要的配置文件,考虑使用外部化配置方式,避免打包时被覆盖

总结

Dubbo框架的序列化安全机制依赖于白名单配置,开发者需要特别注意在打包过程中资源文件的处理方式。通过选择合适的打包工具和配置,可以确保自定义的白名单配置在最终部署包中正确保留,保障系统的安全性和功能的完整性。

登录后查看全文
热门项目推荐
相关项目推荐