Beanutils.populate 与其他 Java 对象填充框架的比较 (beanutils.copyproperties隐患)

在 java 中，对象填充是一个常见且重要的任务。它涉及将值从一个对象复制到另一个对象。有许多不同的 Java 对象填充框架可供选择，每个框架都有自己的优缺点。

Beanutils.populate

Beanutils.populate 是 Apache Commons BeanUtils 中的一个类，用于对象填充。它是一种流行且易于使用的框架，它支持深层复制。深层复制意味着将嵌套对象的所有字段也复制到目标对象。

Beanutils.populate 有几个优点：

• 易于使用
• 支持深层复制
• 广泛使用

但是，Beanutils.populate 也有一个严重的隐患，即 beanutils.copyproperties 方法内部使用了BeanUtilsBean 的公开无参构造器去创建对象，这个公开无参构造器很危险，可以被攻击者利用。

例如，以下代码使用 Beanutils.populate 将值从一个对象复制到另一个对象：

public class Example {public static void main(String[] args) {// 创建源对象SourceObject source = new SourceObject();source.setName("John Doe");source.setAge(30);// 创建目标对象TargetObject target = new TargetObject();// 使用 Beanutils.populate 复制值try {BeanUtils.populate(target, source);} catch (IllegalAccessException | InvocationTargetException e) {e.printStackTrace();}// 打印目标对象System.out.println(target);}private static class SourceObject {private String name;private int age;public String getName() {return name;}public void setName(String name) {this.name = name;}public int getAge() {return age;}public void setAge(int age) {this.age = age;}}private static class TargetObject {private String name;private int age;public String getName() {return name;}public void setName(String name) {this.name = name;}public int getAge() {return age;}public void setAge(int age) {this.age = age;}@Overridepublic String toString() {return "TargetObject [name=" + name + ", age=" + age + "]";}}
}

这段代码没有任何问题，它会正确地将值从 source 对象复制到target 对象。但是，如果攻击者能够控制 source 对象，他们就可以利用 beanutils.copyproperties 方法内部使用的BeanUtilsBean 的公开无参构造器去创建未经授权的对象，从而导致严重的安全漏洞。

其他 Java 对象填充框架

除了 Beanutils.populate 之外，还有许多其他的 Java 对象填充框架可供选择。这些框架包括：

• Dozer
• Orika
• MapStruct

这些框架都各有优缺点，如下表所示：

框架	易于使用	功能

---

---

相关标签： Java、 与其他、 beanutils.copyproperties隐患、 Beanutils.populate、 对象填充框架的比较、

上一篇：Beanutilspopulate在Netflix和Uber等公司中

下一篇：BeanutilspopulateJava开发人员的必备库bea