Missing SecurityManager Check: Serializable

コンストラクタで SecurityManager チェックを実行するシリアライズ可能なクラスは、同じチェックを readObject() および readObjectNoData メソッドでも実行する必要があります。

シリアライズ可能なクラスの readObject() メソッドが呼び出されるときに、デシリアライズされるこのクラスのコンストラクタは呼び出されません。このため、SecurityManager チェックがシリアライズ可能なクラスのコンストラクタに存在する場合、同じ SecurityManager チェックが readObject() および readObjectNoData() メソッドにも存在することを確認します。そうではないと、クラスがデシリアライズされると、セキュリティチェックが迂回されます。

例 1: 次のコードには、コンストラクタに SecurityManager チェックが含まれていますが、readObject() および readObjectNoData() メソッドにはこのチェックが含まれていません。

public class BadSecurityCheck implements Serializable {

private int id;

public BadSecurityCheck() {
    SecurityManager sm = System.getSecurityManager();
    if (sm != null) {
        sm.checkPermission(new BadPermission("BadSecurityCheck"));
    }
    id = 1;
}

public void readObject(ObjectInputStream in) throws ClassNotFoundException, IOException {
    in.defaultReadObject();
}

public void readObjectNoData(ObjectInputStream in) throws ClassNotFoundException, IOException {
    in.defaultReadObject();
}
}