FastJson反序列化分析

       Fastjson反序列化分析概述

       Fastjson，由阿里巴巴维护的JSON库，以其“假定有序快速匹配”的算法著称，号称Java中最快的JSON库。

       一、反序列化流程

       反序列化流程主要在DefaultJSONParser类中实现。电商源码HPHParserConfig进行配置初始化，JSONLexer处理并分析JSON字符串，而反序列化则在JavaBeanDeserializer中处理。

       二、无@type分析

       在不使用@type的情况下，Fastjson如何解析字符串？我们通过简单的案例来理解。

       首先，php客户源码创建一个用于反序列化的类，然后创建一个测试类。

       在无@type的情况下，Fastjson如何解析字符串？

       1. 打开断点，进入parse方法，查看初始化过程。escar模块源码

       2. 传入参数后，进入DefaultJSONParser对象创建，这里执行了多个操作，包括配置信息初始化，类和反序列化器绑定。

       3. 接下来，swift系统源码分析ParserConfig对象的实例化过程，理解配置信息是如何绑定到对象上的。

       4. 继续跟进，分析DefaultJSONParser构造函数中，JSONScanner对象的创建和初始化过程。

       5. JSONScanner对象的awx源码语言构造函数中，文本内容被赋值和长度被获取，进一步理解了字符串解析过程。

       6. 跟踪解析流程，分析如何遍历和解析字符串，直到获取完整对象。

       三、加@type分析

       在使用@type注解时，Fastjson如何解析字符串？

       1. 进入parse方法，初始化过程与之前相似。

       2. 当遇到"@type"时，截取类型信息，并通过TypeUtils加载对应类。

       3. 获取反序列化器，根据类型匹配相应的处理逻辑。

       4. 如果找不到匹配的反序列化器，则尝试创建JavaBean反序列化器，并获取对象属性信息。

       5. 根据属性信息，创建对应字段并进行赋值操作。

       6. 最终，返回反序列化后的对象。

       四、总结与参考资料

       通过上述分析，我们可以理解Fastjson在反序列化过程中的工作原理。相关文章和博客提供了更深入的见解和学习资源。

       注意：确保在安全研究或教学中使用这些工具和方法，遵循相关法律和伦理规范。