Spring Web 5.x 安全漏洞解析与风险应对指南

2026-01-31 00:00:00 作者：心靈之曲

veracode 报告的 spring-web 5.x “极高危”漏洞实为 java 原生反序列化风险误报；该问题本质不在于 spring 版本缺陷，而取决于开发者是否在不可信上下文中使用 java 序列化机制。正确应对方式是代码审计与安全实践升级，而非强制升级框架或 jdk。

Spring Framework 5.x 系列（如 5.3.x）被部分 SCA 工具（如 Veracode）标记为存在“Very High”级别的反序列化漏洞，常关联 CVE 编号（如 CVE-2025-22965 相关误报变体），但需明确：Spring-Web 本身并未引入新的反序列化入口点，其风险完全继承自 Java 原生 ObjectInputStream 的固有特性。Spring 官方在 issue #24434 中已明确表态：该类问题属于通用平台风险，不属于 Spring 框架需单独修复的“漏洞”。

✅ 正确认知风险边界

❌ 错误认知：“只要用了 Spring-Web 5.x 就存在远程代码执行（RCE）”
✅ 正确认知：仅当您的应用显式调用 ObjectInputStream.readObject() 且输入流来自 HTTP 请求、消息队列、文件上传等不可信源时，才构成真实风险

例如，以下代码模式需立即审查：

// ⚠️ 高风险示例：直接反序列化请求体（绝对禁止！）
@PostMapping("/deserialize")
public String unsafeDeserialize(@RequestBody byte[] payload) {
    try (ObjectInputStream ois = new ObjectInputStream(new ByteArrayInputStream(payload))) {
        Object obj = ois.readObject(); // ← 危险：未校验来源，可触发恶意 gadget 链
        return "OK";
    } catch (Exception e) {
        return "Error";
    }
}

而标准 Spring MVC 功能（如 @RequestBody User user）默认使用 Jackson 或 Gson 解析 JSON，完全不涉及 Java 序列化，因此不受影响。

? 审计与加固步骤

全局搜索高危 API
在项目中执行如下代码扫描（IDE 或 grep）：

grep -r "ObjectInputStream\|readObject\|ObjectOutputStream\|writeObject" --include="*.java" .

逐条评估调用上下文
- 输入数据是否可控？（如来自 @RequestParam, @RequestBody, 文件上传、外部 MQ 消息等）
- 是否启用 ObjectInputStream.resolveClass() 自定义逻辑？（易被利用）
- 是否部署了 SerialFilter（Java 9+）或 SecurityManager（已废弃但仍有参考价值）？

安全替代方案（推荐）
彻底弃用 Java 序列化，改用类型安全、可验证的序列化格式：

// ✅ 推荐：使用 Jackson 处理 JSON（默认启用白名单反序列化保护）
@PostMapping("/user")
public ResponseEntity createUser(@RequestBody User user) {
    // user 已由 Jackson 安全绑定，无反序列化风险
    return ResponseEntity.ok("Created");
}

如确需二进制传输，可选用 Protobuf、Avro 或加密 + Base64 编码的 JSON。

? 关键结论与建议

Spring
不会发布 5.x 的“补丁版本”来“修复”此问题——因为这不是 Spring 的 Bug，而是 Java 平台层的设计约束。官方立场参见该 issue 的核心评论。
升级至 Spring 6.x 无法根除风险：它仅移除了少数内部使用的 ObjectInputStream 调用（如 StandardServletAsyncWebRequest 中的遗留逻辑），但只要您的业务代码仍调用 readObject()，风险依然存在。
JDK 8 仍可安全使用：Java 8u292+ 已内置 jdk.serialFilter 系统属性支持（JEP 290），您可通过 JVM 启动参数启用全局反序列化白名单：
```
-Djdk.serialFilter="java.lang.String;java.util.*;your.app.dto.**;!*"
```
配合 Spring Boot，可在 application.properties 中配置：
```
spring.jvm.args=-Djdk.serialFilter=java.lang.String;java.util.*;com.example.dto.**
```