当前位置：首页 > news >正文

使用枚举实现单例模式，不会反序列化破坏攻击，不会被反射破坏攻击。（附带枚举单例的简单实现）

news 2025/7/24 5:48:37

原因分析

1.反序列化方法

① jdk8中的Enum源码中对反序列化方法进行重写，抛出异常。

java.lang.Enum#readObject方法截图如下

②java.io.ObjectInputStream#readObject 方法中的 readEnum 方法处理了枚举类型的反序列化，从而确保了枚举的单例特性。

具体来说，在 Java 的序列化过程中，当对象被反序列化时，ObjectInputStream 类会调用 readObject 方法来读取对象。对于枚举类型，readObject 方法会调用 readEnum，后者会根据枚举的类型和名称来查找已经存在的枚举常量：Enum.valueOf()。

java.io.ObjectInputStream#readObject方法截图如下

java.io.ObjectInputStream#readEnum方法截图如下,包含Enum.valueOf()

这一过程确保了以下几点：

确保单例性：readEnum 方法通过调用 Enum.valueOf() 来查找与名称匹配的枚举常量，这意味着无论你如何尝试反序列化，得到的都是已经存在的枚举实例，保证了枚举的单例特性。
防止实例创建：由于枚举的构造函数是私有的，而且在反序列化过程中不会直接调用构造函数，因此无法创建新的枚举实例。

2.反射newInstance()方法

在 Java 中，使用反射的 java.lang.reflect.Constructor#newInstance 方法来创建枚举类的实例时，会进行特殊的检查。

如果尝试通过反射调用 newInstance 方法来创建一个枚举类型的实例，Java 会抛出 IllegalArgumentException，并指出 "Cannot reflectively create enum objects"。这一设计是为了保护枚举类型，确保它们的实例唯一性。

如下代码：

枚举在 Java 中被设计为单例，每一个枚举常量在一个应用程序的生命周期中只能存在一个实例。由于枚举常量在定义时就已经实例化，Java 不允许通过反射来创造额外的枚举实例。这一机制通过阻止反射创建枚举对象，进一步增强了枚举的安全性和一致性。

因此，结合 ObjectInputStream 在反序列化时对枚举类型的特殊处理和反射机制的限制，共同保证了枚举类型不会被意外或者恶意地创建多个实例。

Enum的反编译

Enum 类型的静态初始化（static）

枚举类在类加载时，会静态初始化并创建实例，这一过程是由 JVM 保证的。因此，枚举类型的实例是在类加载时就已经创建好了，而反序列化时只是获取这个已存在的实例。这种机制避免了创建多个枚举实例的风险。

枚举的反编译，属性都有static修饰。

单例模式示例

假设有一个简单的枚举单例类：

import java.io.Serializable;public enum Singleton implements Serializable {INSTANCE;public void someMethod() {System.out.println("This is a method in the Singleton instance.");}
}