JAVA反序列化漏洞原理（java反序列化漏洞）

JAVA创建对象有哪几种方式？

创建对象的几种方式：

第一种，也是最常用、一直接触到的方法：通过new 创建对象。这种方法需要用到构造器

　　 Demo demo1=new Demo(); 　　 Demo demo2=new Demo(1，"有参构造器");

第二种，比较常用的的方法：通过反射 newInstance()创建对象。这种方法用到构造器

　　Demo demo2=(Demo) Class.forName("Demo").newInstance();

第三种，通过object类的clone方法。需要实现Cloneable接口，重写object类的clone方法。无论何时我们调用一个对象的clone方法，jvm就会创建一个新的对象，将前面对象的内容全部拷贝进去。用clone方法创建对象并不会调用任何构造函数。（原型模式，还没了解）

　　Demo demo4=(Demo) demo2.clone();

第四种，反序列化。java 中常常进行 JSON 数据跟 Java 对象之间的转换，即序列化和反序列化。当我们序列化和反序列化一个对象，JVM会给我们创建一个单独的对象，在反序列化时，JVM创建对象并不会调用任何构造函数。为了反序列化一个对象，我们需要让我们的类实现Serializable接口，虽然该接口没有任何方法。不会调用任何构造函数

百度搜索圈T社区（www.aiquanti.com） 免费视频教程

JAVA创建对象有哪几种方式？

JAVA创建对象的四种方式：

有4种显式地创建对象的方式：

1.用new语句创建对象，这是最常用的创建对象的方式。

2.运用反射手段，调用Java.lang.Class或者java.lang.reflect.Constructor类的newInstance()实例方法。

3.调用对象的clone()方法。

4.运用反序列化手段，调用java.io.ObjectInputStream对象的readObject()方法.

下面演示了用前面3种方式创建对象的过程。

以上程序的打印结果如下：

call second constructor

call default constructor

c1: name=unknown,age=0

call second constructor

c2: name=Tom,age=20

c2==c3 : false

c2.equals(c3) : true

c3: name=Tom,age=20

从以上打印结果看出，用new语句或Class对象的newInstance()方法创建Customer对象时，都会执行Customer类的构造方法，而用对象的clone()方法创建Customer对象时，不会执行Customer类的构造方法。（区别）

除了以上4种显式地创建对象的方式以外，在程序中还可以隐含地创建对象，包括以下几种情况：

1.对于java命令中的每个命令行参数，Java虚拟机都会创建相应的String对象，并把它们组织到一个String数组中，再把该数组作为参数传给程序入口main(String args[])方法。

2.程序代码中的String类型的直接数对应一个String对象，例如：

执行完以上程序，内存中实际上只有两个String对象，一个是直接数，由Java虚拟机隐含地创建，还有一个通过new语句显式地创建。

3.字符串操作符“+”的运算结果为一个新的String对象。例如：

4.当Java虚拟机加载一个类时，会隐含地创建描述这个类的Class实例。