2 シリアライズ・フィルタリング

パターン・ベースのフィルタ構文

このクラスがどのフィルタにも一致しない場合、そのクラスは受け入れられています。特定のクラスのみを受け入れる場合は、フィルタが一致市内すべてのクラスを拒否する必要があります。指定されたクラス以外のすべてのクラスを拒否するには、クラス・フィルタ内の最後のパターンとして!*を含めます。

パターンの構文の詳細は、conf/security/java.securityファイルまたはJEP 290を参照してください。

パターン・ベースのフィルタの制限事項

パターン・ベースのフィルタは、単純な受入れまたは拒否のために使用されます。これらのフィルタには、いくつかの制限事項があります。次に例を示します。

• パターンでは、クラスに基づいて配列のサイズを変えることができません。

• パターンは、クラスのスーパータイプまたはインタフェースに基づいたクラスと一致させることができません。

• パターンには状態がなく、ストリーム内のデシリアライズされた以前のクラスに基づいて選択を行うことができません。

1つのアプリケーションのパターン・ベースのフィルタの定義

1つのアプリケーションのシステム・プロパティとしてパターン・ベースのフィルタを定義できます。システム・プロパティは、セキュリティ・プロパティの値よりも優先されます。

1つのアプリケーションおよびJavaの単一の呼出しにのみ適用されるフィルタを作成するには、コマンド行でjdk.serialFilterシステム・プロパティを定義します。

次の例では、個々のアプリケーションのリソース使用率を制限する方法を示します。

java -Djdk.serialFilter=maxarray=100000;maxdepth=20;maxrefs=500 com.example.test.Application

プロセス内のすべてのアプリケーションのパターン・ベースのフィルタの定義

プロセス内のすべてのアプリケーションのセキュリティ・プロパティとしてパターン・ベースのフィルタを定義できます。システム・プロパティは、セキュリティ・プロパティの値よりも優先されます。

1. java.securityプロパティ・ファイルを編集します。

   • JDK 9以降: $JAVA_HOME/conf/security/java.security

   • JDK 8、7、6: $JAVA_HOME/lib/security/java.security 

2. jdk.serialFilterセキュリティ・プロパティにパターンを追加します。

クラス・フィルタの定義

グローバルに適用されるパターン・ベースのクラス・フィルタを作成できます。たとえば、パターンはワイルドカードを含むクラス名またはパッケージである可能性があります。

jdk.serialFilter=!example.somepackage.SomeClass;example.somepackage.*;

jdk.serialFilter=!example.somepackage.SomeClass;example.somepackage.*;!*

リソース制限フィルタの定義

シリアライズ・オブジェクトのストリームの読取り

1つのObjectInputStreamでカスタム・フィルタを設定できます。または、すべてのストリームに同じフィルタを適用するには、プロセス全体のフィルタを設定します。ObjectInputStreamにフィルタが定義されていない場合は、プロセス全体のフィルタが呼び出されます(ある場合)。

ストリームのデコード中に、次のアクションが発生します。

• ストリーム内の新規オブジェクトごとに、このフィルタが呼び出された後、オブジェクトがインスタンス化され、デシリアライズされます。

• ストリーム内のクラスごとに、フィルタが解決されたクラスとともに呼び出されます。これは、ストリーム内のスーパータイプおよびインタフェースごとに個別に呼び出されます。

• フィルタは、作成されるオブジェクトのクラス、それらのクラスのスーパータイプ、そのインタフェースなど、ストリーム内で参照される各クラスを調査できます。

• ストリームの配列ごとに、プリミティブ配列、文字配列またはオブジェクト配列のいずれであっても、配列クラスおよび配列長を指定したフィルタが呼び出されます。

• ストリームから読み取られたオブジェクトへの参照ごとに、深さ、参照の数およびストリーム長をチェックできるフィルタが呼び出されます。深さは1から始まり、ネスト・オブジェクトごとに増加し、ネストされた呼出しが戻されるたびに減少します。

• フィルタは、ストリームで具体的にエンコードされているプリミティブ・インスタンスまたはjava.lang.Stringインスタンスの場合は呼び出されません。

• フィルタは、受入れ、拒否または未決定のステータスを戻します。

• ロギングが有効になっている場合は、フィルタ・アクションがログに記録されます。

フィルタによってオブジェクトが拒否されない場合、オブジェクトは受け入れられます。

個別のストリームのカスタム・フィルタの設定

ストリームへの入力が信頼されず、フィルタにクラスの限定セットがあったり、制約が施行される場合、個別のObjectInputStreamにフィルタを設定できます。たとえば、ストリームに数値、文字列およびその他のアプリケーションに固有のタイプのみが確実に含まれるようにできます。

setObjectInputFilterメソッドを使用して、カスタム・フィルタが設定されます。オブジェクトがストリームから読み取られる前にカスタム・フィルタを設定する必要があります。

次の例では、setObjectInputFilterメソッドがdateTimeFilterメソッドを使用して呼び出されます。このフィルタは、java.timeパッケージのクラスのみを受け入れます。dateTimeFilterメソッドは、メソッドとしてのカスタム・フィルタの設定のコード・サンプルで定義されています。

    LocalDateTime readDateTime(InputStream is) throws IOException {
        try (ObjectInputStream ois = new ObjectInputStream(is)) {
            ois.setObjectInputFilter(FilterClass::dateTimeFilter);
            return (LocalDateTime) ois.readObject();
        } catch (ClassNotFoundException ex) {
            IOException ioe = new StreamCorruptedException("class missing");
            ioe.initCause(ex);
            throw ioe;
        }
    }

プロセス全体のカスタム・フィルタの設定

特定のストリームでオーバーライドされないかぎり、ObjectInputStreamのすべての使用に適用されるプロセス全体のフィルタを設定できます。アプリケーション全体で必要とされるすべてのタイプと条件を識別できる場合、フィルタはこれらを受け入れ、残りを拒否できます。通常、プロセス全体のフィルタを使用して、特定のクラスまたはパッケージを拒否したり、配列サイズ、グラフ深度または合計グラフ・サイズを制限します。

プロセス全体のフィルタは、ObjectInputFilter.Configクラスのメソッドを使用して1回設定されます。フィルタは、クラスのインスタンス、ラムダ式、メソッド参照またはパターンにすることができます。

    ObjectInputFilter filter = ...
    ObjectInputFilter.Config.setSerialFilter(filter);

次の例では、プロセス全体のフィルタがラムダ式を使用して設定されます。

    ObjectInputFilter.Config.setSerialFilter(info -> info.depth() > 10 ? Status.REJECTED : Status.UNDECIDED);

次の例では、プロセス全体のフィルタがクラスのインスタンスを使用して設定されます。

    ObjectInputFilter.Config.setSerialFilter(FilterClass::dateTimeFilter);

パターンを使用したカスタム・フィルタの設定

単純なケースに役立つパターン・ベースのカスタム・フィルタは、ObjectInputFilter.Config.createFilterメソッドを使用して作成できます。システム・プロパティまたはセキュリティ・プロパティとしてパターン・ベースのフィルタを作成できます。メソッドまたはラムダ式としてパターン・ベースのフィルタを実装すると、柔軟性が向上します。

フィルタ・パターンは特定のクラス、パッケージ、モジュールを受け入れたり、拒否でき、配列サイズ、グラフ深度、合計参照およびストリーム・サイズに制限を設定できます。パターンは、クラスのスーパータイプまたはインタフェースと一致させることができません。

    ObjectInputFilter filesOnlyFilter = ObjectInputFilter.Config.createFilter("example.File;!example.Directory");

    ObjectInputFilter filesOnlyFilter = ObjectInputFilter.Config.createFilter("example.File;!*");

クラスとしてのカスタム・フィルタの設定

カスタム・フィルタは、java.io.ObjectInputFilterインタフェースを実装するクラス、ラムダ式またはメソッドとして実装できます。

通常、フィルタはステートレスで、入力パラメータに対してのみチェックを実行します。ただし、たとえば、ストリーム内のアーティファクトをカウントするcheckInputメソッドへの呼出し間の状態を維持するフィルタを実装できます。

次の例では、FilterNumberクラスはNumberクラスのインスタンスであるオブジェクトを許可し、その他すべてを拒否します。

    class FilterNumber implements ObjectInputFilter {
        public Status checkInput(FilterInfo filterInfo) {
            Class<?> clazz = filterInfo.serialClass();
            if (clazz != null) {
                return (Number.class.isAssignableFrom(clazz)) ? Status.ALLOWED : Status.REJECTED;
            }
            return Status.UNDECIDED;
        }
    }

この例では次のようになります。

• checkInputメソッドはObjectInputFilter.FilterInfoオブジェクトを受け入れます。オブジェクトのメソッドは、チェック対象のクラス、配列サイズを、現在の深さ、既存のオブジェクトへの参照の数およびこれまでに読み取られたストリーム・サイズへのアクセスを提供します。

• serialClassがnullでない場合は、新しいオブジェクトが作成されていることを示しており、値がチェックされて、オブジェクトのクラスがNumberであるかどうかが確認されます。該当する場合はこの値が受け入れられ、それ以外の場合は拒否されます。

• 引数のその他の組合せでは、UNDECIDEDが戻されます。デシリアライズは続行され、オブジェクトが受け入れられるか拒否されるまで、残りのフィルタが実行されます。他のフィルタがない場合、オブジェクトは受け入れられています。

メソッドとしてのカスタム・フィルタの設定

カスタム・フィルタもメソッドとして実装できます。メソッド参照はインライン・ラムダ式のかわりに使用されます。

次の例で定義されるdateTimeFilterメソッドは、個別のストリームのカスタム・フィルタの設定のコード・サンプルで使用されています。

    public class FilterClass {
        static ObjectInputFilter.Status dateTimeFilter(ObjectInputFilter.FilterInfo info) {
            Class<?> serialClass = info.serialClass();
            if (serialClass != null) {
                return serialClass.getPackageName().equals("java.time")
                        ? ObjectInputFilter.Status.ALLOWED
                        : ObjectInputFilter.Status.REJECTED;
            }
            return ObjectInputFilter.Status.UNDECIDED;
        }
    }

例: java.baseモジュール内のクラスのフィルタ

メソッドとしても実装されているこのカスタム・フィルタは、JDKのベース・モジュール内のクラスのみを許可します。この例は、JDK 9以降で機能します。

        static ObjectInputFilter.Status baseFilter(ObjectInputFilter.FilterInfo info) {
            Class<?> serialClass = info.serialClass();
            if (serialClass != null) {
                return serialClass.getModule().getName().equals("java.base")
                        ? ObjectInputFilter.Status.ALLOWED
                        : ObjectInputFilter.Status.REJECTED;
            }
            return ObjectInputFilter.Status.UNDECIDED;
       }

RMIレジストリのフィルタ

RMIレジストリには、オブジェクトをレジストリ内でバインドできるビルトイン・ホワイトリスト・フィルタが含まれています。これには、java.rmi.Remote、java.lang.Number、java.lang.reflect.Proxy、java.rmi.server.UnicastRef、java.rmi.activation.ActivationId、java.rmi.server.UID、java.rmi.server.RMIClientSocketFactoryおよびjava.rmi.server.RMIServerSocketFactoryクラスのインスタンスが含まれています。

 maxarray=1000000,maxdepth=20

パターンとともにsun.rmi.registry.registryFilterシステム・プロパティを使用して、フィルタを定義し、ビルトイン・フィルタを破棄します。定義したフィルタがフィルタに渡されるクラスを受け入れるか、クラスまたはサイズを拒否する場合は、ビルトイン・フィルタが呼び出されません。フィルタが何も受け入れたり、拒否しない場合は、ビルトイン・フィルタが呼び出されます。

RMI分散ガベージ・コレクタのフィルタ

RMI分散ガベージ・コレクタには、限定されたクラスのセットを受け入れるビルトイン・ホワイトリスト・フィルタが含まれています。これには、java.rmi.server.ObjID、java.rmi.server.UID、java.rmi.dgc.VMIDおよびjava.rmi.dgc.Leaseクラスのインスタンスが含まれています。

maxarray=1000000,maxdepth=20

パターンとともにsun.rmi.transport.dgcFilterシステム・プロパティを使用して、フィルタを定義し、ビルトイン・フィルタを破棄します。フィルタに渡されるクラスを受け入れるか、クラスまたはサイズを拒否する場合は、ビルトイン・フィルタが呼び出されません。差替えフィルタが何も受け入れたり、拒否しない場合は、ビルトイン・フィルタが呼び出されます。

JMXのフィルタ