계: Time and State

분산 컴퓨팅에서 중요한 것은 시간과 상태입니다. 즉, 둘 이상의 구성 요소가 통신하려면 상태를 공유해야 하며 시간이 걸립니다.

대부분의 프로그래머들은 자신들의 작업을 의인화합니다. 하나의 컨트롤 스레드로 마치 자신이 직접 작업한 것처럼 전체 프로그램을 수행할 수 있을 것으로 생각합니다. 하지만 최신 컴퓨터는 작업 간에 매우 빠르게 전환되므로 멀티코어, 멀티 CPU 또는 분산 시스템에서 두 이벤트가 정확히 동시에 발생할 수 있습니다. 프로그래머가 만든 프로그램 실행 모델과 실제 현실 간에 빠르게 결함이 생기기 마련입니다. 이러한 결함은 스레드, 프로세스, 시간 및 정보 간의 예기치 않은 상호작용과 관련이 있습니다. 이러한 상호 작용은 공유 상태를 통해 발생합니다. 세마포, 변수, 파일 시스템 그리고 정보를 저장할 수 있는 모든 것이 여기에 포함됩니다.

J2EE Bad Practices: Non-Serializable Object Stored in Session

Java/JSP

Abstract

non-serializable 개체를 HttpSession 속성으로 저장하면 응용 프로그램 안정성을 해칠 수 있습니다.

Explanation

J2EE 응용 프로그램은 여러 JVM을 이용하여 응용 프로그램 안정성과 성능을 개선합니다. 최종 사용자에게 여러 JVM을 하나의 응용 프로그램으로 보이게 하기 위해, J2EE 컨테이너는 여러 JVM에 HttpSession 개체를 복제하여 한 JVM을 사용할 수 없게 되면 다른 JVM이 개입하여 역할을 대신하기 때문에 응용 프로그램의 흐름이 중단되지 않습니다.

세션 복제가 제대로 동작하려면 응용 프로그램이 세션에 속성으로 저장한 값이 Serializable 인터페이스를 구현해야 합니다.

예제 1: 다음 클래스는 자신을 세션에 추가하지만 serializable 상태가 아니므로 세션을 더 이상 복제할 수 없습니다.


public class DataGlob {
   String globName;
   String globValue;

   public void addToSession(HttpSession session) {
     session.setAttribute("glob", this);
   }
}

References

[1] The Java Servlet Specification Sun Microsystems

[2] The java.io.Serializable Interface Oracle

[3] MSC08-J. Do not store non-serializable objects as attributes in an HTTP session CERT

[4] Standards Mapping - Common Weakness Enumeration CWE ID 579

[5] Standards Mapping - OWASP Mobile 2014 M1 Weak Server Side Controls

[6] Standards Mapping - OWASP Top 10 2004 A3 Broken Authentication and Session Management

[7] Standards Mapping - OWASP Top 10 2007 A7 Broken Authentication and Session Management

[8] Standards Mapping - OWASP Top 10 2010 A3 Broken Authentication and Session Management

[9] Standards Mapping - OWASP Top 10 2013 A2 Broken Authentication and Session Management

[10] Standards Mapping - OWASP Top 10 2017 A2 Broken Authentication

[11] Standards Mapping - OWASP Top 10 2021 A07 Identification and Authentication Failures

[12] Standards Mapping - Payment Card Industry Data Security Standard Version 1.1 Requirement 6.5.3

[13] Standards Mapping - Payment Card Industry Data Security Standard Version 1.2 Requirement 6.5.7

[14] Standards Mapping - Payment Card Industry Data Security Standard Version 2.0 Requirement 6.5.8

[15] Standards Mapping - Payment Card Industry Data Security Standard Version 3.0 Requirement 6.5.10

[16] Standards Mapping - Payment Card Industry Data Security Standard Version 3.1 Requirement 6.5.10

[17] Standards Mapping - Payment Card Industry Data Security Standard Version 3.2 Requirement 6.5.10

[18] Standards Mapping - Payment Card Industry Data Security Standard Version 3.2.1 Requirement 6.5.10

[19] Standards Mapping - Payment Card Industry Data Security Standard Version 4.0 Requirement 6.2.4

[20] Standards Mapping - Payment Card Industry Software Security Framework 1.0 Control Objective 4.2 - Critical Asset Protection

[21] Standards Mapping - Payment Card Industry Software Security Framework 1.1 Control Objective 4.2 - Critical Asset Protection

[22] Standards Mapping - Payment Card Industry Software Security Framework 1.2 Control Objective 4.2 - Critical Asset Protection

desc.structural.java.j2ee_bad_practices_non_serializable_object_stored_in_session