Java: Vì sao không nên deserialize dữ liệu không tin cậy bằng ObjectInputStream?

Chào bạn Hân, Native Java deserialization với dữ liệu không tin cậy có thể kích hoạt hành vi ngoài ý muốn thông qua object graph hoặc gadget chain, nên không nên dùng ObjectInputStream như một parser đầu vào công khai. Filtering giúp giảm rủi ro trong hệ thống legacy nhưng không phải lý do để tiếp tục thiết kế mới theo hướng đó. Ưu tiên format dữ liệu rõ ràng như JSON, Protobuf hoặc Avro tùy nhu cầu, với schema hoặc DTO riêng cho boundary. Chỉ parse kiểu dữ liệu mong đợi, giới hạn kích thước/độ sâu payload, validate giá trị nghiệp vụ và không map trực tiếp input vào domain entity nhạy cảm. Thiết lập versioning contract, xác thực/ủy quyền ở transport, dùng TLS và log lỗi parse mà không ghi payload nhạy cảm. Migration từ legacy nên thực hiện theo từng endpoint có test tương thích.

Việc sử dụng `ObjectInputStream` để deserialize dữ liệu từ các nguồn không đáng tin cậy rất nguy hiểm vì nó cho phép thực thi mã tùy ý; một đối tượng bị thao túng có thể kích hoạt các hàm `readObject`, mở rộng `ObjectInputValidation` hoặc thậm chí tải các lớp từ xa, dẫn đến chiếm quyền điều khiển hoàn toàn. Thay vào đó, hãy sử dụng một định dạng văn bản hoặc nhị phân có cấu trúc với xác thực nghiêm ngặt: JSON (Jackson/Gson) với một schema (ví dụ: JSON Schema), protobuf hoặc Avro cho các cấu trúc có cấu trúc, hoặc XML với XSD. Các định dạng này không cho

Vấn đề cốt lõi nằm ở cơ chế `readObject` cho phép thực thi code tùy ý trong quá trình khôi phục trạng thái object. Kẻ tấn công chỉ cần gửi một chuỗi byte được chế tác đặc biệt (gadget chain) từ các thư viện phổ biến như Commons Collections hay Spring đang có trên classpath để thực thi lệnh hệ thống (RCE) ngay khi `readObject()` được gọi. Đây không phải lỗi logic mà là thiết kế cho phép dữ liệu điều khiển hành vi chương trình. Thay thế an toàn: Dùng JSON (Jackson/Gson) hoặc Protobuf/Avro với schema chặt chẽ. Chỉ deserialize vào DTO đơn giản (POJO không logic, không interface phức tạp), sau đó validate thủ công (allowlist field, kiểm tra range, regex) trước khi map sang domain object. Tuyệt đối không dùng `ObjectInputStream` cho dữ liệu từ network, file upload hay database có thể bị can thiệp. Ngoài ra, có thể cấu hình `ObjectInputFilter` (Java 9+) để chặn class nguy hiểm như `java.lang.ProcessBuilder` hay các class trong gadget chain đã biết, nhưng đây chỉ là lớp phòng thủ thứ hai. Mình thấy các team thường chủ quan khi dùng thư viện serialization "tiện" cho internal service, bạn thấy nên enforce policy ở gateway hay tại từng service consumer?