Missing SecurityManager Check: Serializable

Una clase serializable que realiza una comprobación SecurityManager en su constructor tiene que realizar la misma comprobación en sus métodos readObject() y readObjectNoData.

Cuando se invoca el método readObject() de una clase serializable, no se invoca el constructor para la clase que se está deserializando. Así pues, si hay una comprobación SecurityManager en el constructor de una clase serializable, también debe estar presente la misma comprobación SecurityManager en los métodos readObject() y readObjectNoData(). De no ser así, la comprobación de seguridad se derivará cuando la clase se deserialice.

Ejemplo 1: el código siguiente contiene una comprobación SecurityManager en el constructor, pero no en los métodos readObject() y readObjectNoData().

public class BadSecurityCheck implements Serializable {

private int id;

public BadSecurityCheck() {
    SecurityManager sm = System.getSecurityManager();
    if (sm != null) {
        sm.checkPermission(new BadPermission("BadSecurityCheck"));
    }
    id = 1;
}

public void readObject(ObjectInputStream in) throws ClassNotFoundException, IOException {
    in.defaultReadObject();
}

public void readObjectNoData(ObjectInputStream in) throws ClassNotFoundException, IOException {
    in.defaultReadObject();
}
}