Java单例模式的攻击与防御怎么理解

这篇文章主要介绍“Java单例模式的攻击与防御怎么理解”，在日常操作中，相信很多人在Java单例模式的攻击与防御怎么理解问题上存在疑惑，小编查阅了各式资料，整理出简单好用的操作方法，希望对大家解答”Java单例模式的攻击与防御怎么理解”的疑惑有所帮助！接下来，请跟着小编一起来学习吧！

说到“单例模式被攻击”这个话题，大家最容易想到的可能就是通过序列化/反序列化来攻击单例模式，因为一个对象实例序列化再反序列化后，得到的新的对象虽然各字段内容和原字段一致，然而对象地址和原始对象地址相比已经发生了变化，因此它们是两个不同的对象。

上面的结论完全正确，然而除了序列化/反序列化，单例模式还可能遭受另一种方式的攻击，即反射攻击(Reflection attack)。

看一个具体例子：

public class JerrySingleton {   private String name;   private JerrySingleton(){
   name = "Jerry";
}private static class SingletonHolder{      private static final JerrySingleton INSTANCE = new JerrySingleton();
}public static JerrySingleton getInstance() {      return SingletonHolder.INSTANCE;
      }
}

上面是一个饿汉式单例。

然而我只需要将这个单例类JerrySingleton的构造函数通过反射设置成可以访问Accessible，然后就能通过反射调用该构造函数，进而生成新的对象实例。这样就破坏了单例模式。

Class<?> classType = JerrySingleton.class;
Constructor<?> c = classType.getDeclaredConstructor(null);
c.setAccessible(true);
JerrySingleton e1 = (JerrySingleton)c.newInstance();
JerrySingleton e2 = JerrySingleton.getInstance();
System.out.println(e1 == e2);

第6行代码会打印false。

针对这种攻击，一种可行的防御措施是在单例类的构造函数内定义一个布尔变量，初始化为false。当构造函数执行后，该变量被置为true。如果接下来构造函数再次被执行，则人为抛出异常，避免构造函数重复执行。

public class JerrySingletonImproved {    private static boolean flag = false;    private JerrySingletonImproved(){         synchronized(JerrySingletonImproved.class) {            if(flag == false) {
                  flag = !flag;
            }      else {              throw new RuntimeException("Singleton violated");
      }
  }
}
}

这种防御措施无法从根本上杜绝Singleton被攻击，因为攻击者仍旧可以通过反射来修改布尔变量flag的值，从而绕过这个检查。

最理想的不会受到攻击的单例模式实现是借助Java里枚举类Enumeration的特性：

这种实现类型的单例模式的消费代码：

System.out.println("Name:" + JerrySingletonAnotherApproach.INSTANCE.getName());

如果攻击者通过前面介绍的反射代码对这种实现方式的单例进行攻击，JDK会抛出NoSuchMethodException异常：

Exception in thread "main" java.lang.NoSuchMethodException: singleton.JerrySingletonAnotherApproach.<init>()
at java.lang.Class.getConstructor0(Class.java:3082)
at java.lang.Class.getDeclaredConstructor(Class.java:2178)
at singleton.SingletonAttack.test3(SingletonAttack.java:31)
at singleton.SingletonAttack.main(SingletonAttack.java:43)

究其原因，是因为现在我们是通过Java枚举方式实现的单例，枚举类没有传统意义上的构造函数，因此对这种反射攻击免疫。

到此，关于“Java单例模式的攻击与防御怎么理解”的学习就结束了，希望能够解决大家的疑惑。理论与实践的搭配能更好的帮助大家学习，快去试试吧！若想继续学习更多相关知识，请继续关注网站，小编会继续努力为大家带来更多实用的文章！