Redisson升级后Kryo序列化问题的分析与解决

问题背景

在使用Redisson客户端从3.18.1版本升级到3.34.1版本后，用户在使用RBucket.set()方法时遇到了StackOverflowError错误。错误信息表明这是由于Kryo序列化过程中出现了循环引用导致的无限递归问题。

错误分析

当使用Kryo序列化时，如果对象图中存在循环引用，且未启用引用跟踪功能，就会导致序列化过程无限递归，最终抛出StackOverflowError。在Redisson 3.34.1版本中，这个问题变得更加明显，可能是因为内部实现的变化或默认配置的调整。

解决方案演进

1. 初步解决方案：启用Kryo的引用跟踪功能

   • 通过设置Kryo.setReferences(true)可以解决循环引用问题
   • 但使用Kryo5Codec会引入已知的安全问题(CVE-2023-42809)

2. 安全加固方案：

   • 在KryoCodec构造函数中设置registrationRequired=true
   • 这可以限制可序列化的类，提高安全性
   • 但需要明确指定允许序列化的类列表

3. 最终优化方案：

   • 使用SerializationCodec作为替代方案
   • Redisson团队更新了Kryo5Codec，新增了两个重要参数：
     • allowedClasses：明确指定允许序列化的类列表
     • useReferences：控制是否启用引用跟踪功能

最佳实践建议

1. 对于新项目，建议直接使用SerializationCodec
2. 如果必须使用Kryo序列化：
   • 明确指定allowedClasses参数
   • 根据实际需求决定是否启用useReferences
   • 确保registrationRequired=true以提高安全性
3. 对于复杂对象图，启用引用跟踪可以避免StackOverflowError
4. 定期检查Redisson的更新，获取最新的安全修复和功能改进

技术原理深入

Kryo序列化在处理对象图时有两种模式：

1. 无引用跟踪：简单但可能因循环引用导致栈溢出
2. 有引用跟踪：可以正确处理循环引用，但略微增加开销

Redisson的改进使得开发者可以更灵活地控制这些行为，同时通过白名单机制(allowedClasses)提高了安全性，防止不受信任的类被反序列化。

总结

Redisson在版本升级过程中对序列化机制进行了优化，虽然可能引入了一些兼容性问题，但也提供了更灵活、更安全的配置选项。开发者应根据自身应用的特点和安全要求，选择合适的序列化策略和配置参数。