fastjson 2.0.63 版本发布:安全修复+问题优化,强烈建议用户升级

📅 2026/7/31 0:36:38 👁️ 阅读次数 📝 编程学习
fastjson 2.0.63 版本发布:安全修复+问题优化,强烈建议用户升级

fastjson 2.0.63 版本已发布,这是一个安全修复版本,加固 AutoType 反序列化校验,修复多个解析健壮性问题,官方强烈建议用户升级。

版本性质与建议

fastjson 2.0.63 为安全修复版本,加固了 AutoType 反序列化校验,修复多个由构造输入触发的解析健壮性问题。官方强烈建议所有用户升级,尤其是解析不可信 JSON 或 JSONB 数据的应用。

暂不升级解决方案

暂时无法升级的用户,可通过 `-Dfastjson2.parser.safeMode=true` 缓解 AutoType 问题,不过这适用于未使用自定义 `AutoTypeBeforeHandler` 的应用。fastjson 1.x 用户,同款 AutoType 加固已在 fastjson 1.2.84 中提供。

安全修复详情

加强 AutoType 类型名校验与白名单验证,限制数字字面量位数,防止 DoS,还修复了 JSONB `BC_BIGINT` 和 `BC_BINARY` 声明长度 OOM 问题。

变更与问题修复

修复了 `Collection` 元素引用检测问题、`ObjectWriter` 未缓存导致的 Metaspace 泄漏问题,进行了性能修复,支持 JSONCompiled records,增加缺少 kotlin-reflect 时的警告日志。

依赖配置

提供了标准版本、Android 5 优化版本和 Android 8 优化版本的 Maven 依赖配置。更新说明可查看 此链接。

编辑观点:fastjson 此次更新着重安全修复,对开发者而言是保障应用安全稳定的重要举措,建议及时跟进升级。