Java EE邮件Bean应用中JMS不可信数据反序列化安全问题求助

针对你在Java EE EJB邮件发送场景中遇到的JMS不可信数据反序列化风险，我结合你的代码场景（使用MapMessage、xDoclet生成EJB类）给出以下具体解决方案：

1. 替换可序列化消息类型为文本/结构化格式（最推荐） #

Java序列化本身存在高危风险，避免使用MapMessage、ObjectMessage这类依赖Java序列化的消息类型，改用TextMessage承载结构化数据（比如JSON），完全绕过Java反序列化流程：

发送端调整 #

将邮件所需参数（收件人、主题、内容等）序列化为JSON字符串，放入TextMessage：

// 示例：发送邮件的EJB方法中构造TextMessage
TextMessage textMsg = session.createTextMessage();
MailParams params = new MailParams("user@example.com", "Test Subject", "Hello Content");
ObjectMapper mapper = new ObjectMapper(); // 使用Jackson库
textMsg.setText(mapper.writeValueAsString(params));
// 发送消息...

接收端调整 #

在邮件处理组件中，解析JSON字符串而非调用MapMessage.getObject()：

// 替换原MapMessage处理逻辑
if (message instanceof TextMessage) {
    TextMessage textMsg = (TextMessage) message;
    String json = textMsg.getText();
    ObjectMapper mapper = new ObjectMapper();
    MailParams params = mapper.readValue(json, MailParams.class);
    // 后续邮件发送逻辑...
}

这样完全避免了Java反序列化带来的风险，同时JSON格式更易维护和调试。

2. 若必须使用MapMessage，严格校验与类型限制 #

如果因为历史原因无法替换MapMessage，必须对消息内容做严格校验：

• 只允许预期的键：维护一个允许的键列表（比如"to", "subject", "content"），读取时检查键是否在列表内，拒绝未知键。
• 使用强类型读取方法：不要使用getObject()，而是用getString()、getInt()等对应基本类型的方法，避免触发自定义对象的反序列化。
• 拒绝自定义对象类型：如果MapMessage中存在非基本类型的值，直接丢弃消息并记录告警。

示例代码：

MapMessage mapMsg = (MapMessage) message;
// 定义允许的键集合
Set<String> allowedKeys = new HashSet<>(Arrays.asList("to", "subject", "content"));
Enumeration<String> keys = mapMsg.getMapNames();
while (keys.hasMoreElements()) {
    String key = keys.nextElement();
    if (!allowedKeys.contains(key)) {
        // 非法键，拒绝处理
        LoggerFactory.getLogger().warn("Received invalid key in MapMessage: " + key);
        return;
    }
    // 使用强类型读取
    String value = mapMsg.getString(key);
    // 后续处理...
}

3. 启用JVM序列化过滤机制 #

通过JVM层面的配置限制允许反序列化的类，即使意外触发反序列化，也能阻止恶意类加载：

• 在JVM启动参数中添加：

  -Djdk.serialFilter=java.lang.*;java.util.*;com.yourcompany.mail.MailParams;!*
  

  这里只允许Java核心类和你自己的邮件参数类，拒绝所有其他类。
• 或者在代码中使用ObjectInputFilter（Java 9+支持），在接收消息时设置过滤器：

  // 针对MapMessage的反序列化设置过滤器
  ObjectInputFilter filter = ObjectInputFilter.Config.createFilter(
      "java.lang.*;java.util.*;com.yourcompany.mail.MailParams;!*"
  );
  // 若使用的JMS实现支持，设置到消息的输入流中
  

4. 加固JMS与容器安全 #

• 升级JMS实现与Java EE容器：确保你使用的JMS provider（如ActiveMQ、WebSphere MQ）和Java EE容器（如WildFly、WebLogic）是最新安全版本，很多厂商已默认添加反序列化防护。
• 验证消息来源：启用JMS的身份认证（用户名/密码）和SSL/TLS加密传输，确保只有可信的发送方能向队列发送消息，从源头阻止恶意消息。

5. 清理xDoclet生成的冗余代码 #

检查xDoclet生成的EJB代码，确保没有不必要的序列化逻辑，比如移除不需要的Serializable接口实现（如果有的话），减少攻击面。

内容的提问来源于stack exchange，提问作者msTyagi