未使用InvokerTransformer是否可确保应用不受COLLECTIONS-580漏洞影响？

不是的，哪怕你的应用代码没有直接使用InvokerTransformer类，仍然有可能受到该漏洞影响，原因如下：

• 间接依赖调用：你的应用依赖的第三方库、框架可能内部使用了InvokerTransformer或者Apache Commons Collections的Transformer相关组件，这些依赖在处理反序列化操作时，可能被恶意构造的序列化数据触发漏洞。
• 反序列化入口风险：如果你的应用存在可以接收外部序列化数据的入口（比如RMI服务、JMS消息、自定义的序列化数据解析接口等），攻击者可以构造包含InvokerTransformer的恶意序列化payload，只要应用的类路径中存在有漏洞的Apache Commons Collections版本，就能触发漏洞执行恶意代码——完全不需要你的代码显式调用这个类。

简单来说，这个漏洞的核心是反序列化利用链，只要你的应用环境中存在有漏洞的Apache Commons Collections版本，并且存在可被利用的反序列化入口，哪怕你自己的代码没碰过InvokerTransformer，也有被攻击的风险。

内容的提问来源于stack exchange，提问作者ethicalhacker