安全, 新闻 jackson的二次反序列化分析 2025年6月25日 / jackson的二次反序列化分析jackson 调用 getter 方法这条链子在平时 CTF 比赛中用的非常多，一个是因为 spring boot 框架自带 jackson 依赖，二是它反序列化没有黑名单。而一般遇到重写了 resolveClass 方法的黑名单，常用的是 jackson+SignedObject 二次反序列化进行绕过。SignedObject 二次反序列化该类是 java.se