Missing SecurityManager Check: Serializable

구성자에서 SecurityManager 검사를 수행하는 serializable 클래스는 readObject() 및 readObjectNoData 메서드에서 동일한 검사를 수행해야 합니다.

serializable 클래스의 readObject() 메서드가 호출될 때 역직렬화될 클래스에 대한 구성자는 호출되지 않습니다. 따라서, SecurityManager 검사가 serializable 클래스의 구성자에 존재하는 경우, 동일한 SecurityManager 검사가 readObject() 및 readObjectNoData() 메서드에도 존재해야 합니다. 그렇지 않으면, 클래스가 역직렬화될 때 보안 검사가 무시됩니다.

예제 1: 다음 코드에는 readObject() 및 readObjectNoData() 메서드가 아니라 구성자의 SecurityManager 검사가 포함됩니다.

public class BadSecurityCheck implements Serializable {

private int id;

public BadSecurityCheck() {
    SecurityManager sm = System.getSecurityManager();
    if (sm != null) {
        sm.checkPermission(new BadPermission("BadSecurityCheck"));
    }
    id = 1;
}

public void readObject(ObjectInputStream in) throws ClassNotFoundException, IOException {
    in.defaultReadObject();
}

public void readObjectNoData(ObjectInputStream in) throws ClassNotFoundException, IOException {
    in.defaultReadObject();
}
}