Arthas中OGNL严格调用模式的解析与解决方案

背景介绍

在Java诊断工具Arthas的使用过程中，OGNL表达式是一个强大的功能，它允许用户直接执行Java代码片段来查询或修改运行时的状态。然而，随着OGNL版本的更新，引入了一个名为UseStricterInvocation的模块，默认情况下处于开启状态，这给一些原本可以正常执行的OGNL表达式带来了限制。

问题现象

当用户尝试执行类似@java.lang.ClassLoader@getSystemClassLoader().loadClass("aaa")这样的OGNL表达式时，会遇到如下错误：

Failed to execute ognl, exception message: ognl.MethodFailedException: Method "getSystemClassLoader" failed for object class java.lang.ClassLoader [java.lang.IllegalAccessException: Method [public static java.lang.ClassLoader java.lang.ClassLoader.getSystemClassLoader()] cannot be called from within OGNL invokeMethod() under stricter invocation mode.]

这个错误表明，在严格调用模式下，OGNL限制了某些方法的调用权限。

技术原理

OGNL的UseStricterInvocation机制是为了增强安全性而设计的。在严格模式下，OGNL会对方法调用进行更严格的检查，防止潜在的不安全操作。这个特性可以通过JVM参数控制：

• -Dognl.UseStricterInvocation=true：启用严格模式（默认）
• -Dognl.UseStricterInvocation=false：禁用严格模式

解决方案

方法一：使用反射修改静态字段（JDK 17以下）

对于JDK 17以下的版本，可以通过反射机制修改OGNL的严格模式设置：

1. 首先获取Arthas的类加载器ID：

classloader -l | grep taobao

2. 使用OGNL表达式修改严格模式设置：

ognl -c [类加载器ID] '#field = @com.taobao.arthas.core.util.reflect.FieldUtils@getDeclaredField(Class.forName("ognl.OgnlRuntime"),"_useStricterInvocation",true), #modifiers = @com.taobao.arthas.core.util.reflect.FieldUtils@getDeclaredField(#field.getClass(),"modifiers",true),#modifiers.setInt(#field, #field.getModifiers() & ~@java.lang.reflect.Modifier@FINAL),#field.set(null,false)'

方法二：使用Unsafe API（JDK 17及以上）

对于JDK 17及更高版本，由于模块系统的限制，需要使用Unsafe API来修改静态字段：

ognl -c [类加载器ID] '#field = @com.taobao.arthas.core.util.reflect.FieldUtils@getDeclaredField(Class.forName("ognl.OgnlRuntime"),"_useStricterInvocation",true),#unsafe = @com.taobao.arthas.common.UnsafeUtils@UNSAFE, #staticFieldBaseMethod = new com.taobao.arthas.core.advisor.ArthasMethod(#unsafe.getClass(),"staticFieldBase","(Ljava/lang/reflect/Field;)Ljava/lang/Object"),#staticFieldOffsetMethod = new com.taobao.arthas.core.advisor.ArthasMethod(#unsafe.getClass(),"staticFieldOffset","(Ljava/lang/reflect/Field;)Ljava/lang/Object"),#putBooleanMethod = new com.taobao.arthas.core.advisor.ArthasMethod(#unsafe.getClass(),"putBoolean","(Ljava/lang/Object;JZ)V"),#staticFieldBase = #staticFieldBaseMethod.invoke(#unsafe,#field),#staticFieldOffset = #staticFieldOffsetMethod.invoke(#unsafe,#field),#putBooleanMethod.invoke(#unsafe, #staticFieldBase, #staticFieldOffset, false)'

最佳实践

1. 评估安全性：在禁用严格模式前，应评估操作的安全性影响，确保不会引入安全风险。

2. 临时性修改：建议仅在需要时临时禁用严格模式，完成操作后恢复原设置。

3. 版本适配：根据使用的JDK版本选择合适的解决方案，避免因API变更导致的问题。

4. 日志记录：所有OGNL操作都应记录日志，便于后续审计和问题排查。

未来展望

随着Java安全模型的不断演进，OGNL的调用机制可能会进一步调整。Arthas团队也在考虑将这类常用操作封装为更简单的命令，提升用户体验。开发者应关注相关更新，及时调整自己的使用方式。

通过理解OGNL严格调用模式的原理和解决方案，用户可以更灵活地使用Arthas进行Java应用诊断，同时平衡安全性和便利性的需求。