多态反序列化是处理继承结构对象序列化的常见需求，但不同 JSON 序列化库的实现机制差异会带来显著的安全风险。微软 CA2326 规则明确警示：避免使用非安全的 JsonSerializerSettings 配置（如 Newtonsoft.Json 的 TypeNameHandling 非 None 值），否则可能引发类型注入攻击。本文将对比 Newtonsoft.Json 与 System.Text.Json 在多态反序列化中的实现差异，重点分析安全性问题，并通过代码实例验证两者的安全表现。
多态反序列化的实现机制差异
Newtonsoft.Json：基于TypeNameHandling 的灵活设计
Newtonsoft.Json 通过 TypeNameHandling 配置项控制是否在 JSON 中嵌入类型元数据。当设置 TypeNameHandling 支持多态时，JSON 会携带 $type 字段（包含类型的完全限定名和程序集信息），反序列化时直接根据该字段实例化对应类型。这种设计虽然灵活支持多态，但缺乏默认的类型校验机制，攻击者可构造包含恶意类型的 JSON，触发敏感类型实例化。
System.Text.Json：多态配置的安全设计
System.Text.Json 默认不支持多态反序列化，需通过 [JsonDerivedType] 特性或 DerivedTypes 显式声明允许的派生类型。反序列化时仅处理配置过的类型，拒绝未授权的类型注入，从机制上规避了安全风险。
CA2326 规则的警示
CA2326 规则的核心是禁止使用 TypeNameHandling 非 None 值的配置 —— 攻击者可利用 $type 字段构造恶意 JSON，实例化如 ProcessStartInfo（执行系统命令）、FileStream（读写文件）等敏感类型，引发远程代码执行或数据泄露。
using Newtonsoft.Json; using Newtonsoft.Json.Serialization; using System.Diagnostics; using System.Text.Json; using System.Text.Json.Serialization; using System.Text.Json.Serialization.Metadata; namespace NewtonsoftSecurityDemo { [JsonPolymorphic(TypeDiscriminatorPropertyName = "CustomerType")] [JsonDerivedType(typeof(PaymentCompletedEvent), "PaymentCompletedEvent")] [JsonDerivedType(typeof(OrderCreatedEvent), "OrderCreatedEvent")] public class TransactionEvent { public string EventId { get; set; } = Guid.NewGuid().ToString(); public DateTime EventTime { get; set; } = DateTime.Now; public string OrderId { get; set; } // 业务扩展字段（攻击者利用的入口） public object ExtData { get; set; } } public class PaymentCompletedEvent : TransactionEvent { public decimal Amount { get; set; } public string PaymentMethod { get; set; } } public class OrderCreatedEvent : TransactionEvent { public string UserId { get; set; } public int ItemCount { get; set; } } // Newtonsoft.Json 安全绑定器（演示白名单校验） public class EventSerializationBinder : ISerializationBinder { // 仅允许的安全类型白名单 private readonly HashSet<string> _allowedTypes = new() { "NewtonsoftSecurityDemo.PaymentCompletedEvent", "NewtonsoftSecurityDemo.OrderCreatedEvent", //"System.Diagnostics.ProcessStartInfo" }; public Type BindToType(string assemblyName, string typeName) { // 仅允许白名单内的类型 if (!_allowedTypes.Contains(typeName)) { throw new NotSupportedException($"禁止反序列化未授权类型：{typeName}"); } return Type.GetType($"{typeName}, {assemblyName}") ?? typeof(TransactionEvent); } public void BindToName(Type serializedType, out string? assemblyName, out string? typeName) { assemblyName = serializedType.Assembly.FullName; typeName = serializedType.FullName; } } class Program { static void Main(string[] args) { Console.WriteLine("=== Newtonsoft.Json 命令执行攻击演示 ==="); Newtonsoft_Attack_ProcessStartInfo(); Console.WriteLine("\n=== Newtonsoft.Json 文件读取攻击演示 ==="); Newtonsoft_Attack_FileStream(); Console.WriteLine("\n=== Newtonsoft.Json 启用 SerializationBinder：安全防护演示 ==="); Newtonsoft_Secure_WithBinder(); Console.WriteLine("\n=== System.Text.Json 安全防护演示 ==="); SystemTextJson_Defense(); Console.ReadKey(); } /// <summary> /// 模拟：注入ProcessStartInfo执行系统命令 /// </summary> static void Newtonsoft_Attack_ProcessStartInfo() { string maliciousCallbackJson = @$" {{ ""$type"": ""NewtonsoftSecurityDemo.PaymentCompletedEvent, NewtonsoftSecurityDemo"", ""EventId"": ""{Guid.NewGuid()}"", ""OrderId"": ""ORD_{new Random().Next(1000, 9999)}"", ""Amount"": 999.00, ""PaymentMethod"": ""Alipay"", ""ExtData"": {{ ""$type"": ""System.Diagnostics.ProcessStartInfo,System.Diagnostics.Process"", ""FileName"": ""cmd.exe"", ""Arguments"": ""/c echo 'some scripts' > C:\temp\attack_log.txt && echo 'doing' >> C:\temp\attack_log.txt"", ""UseShellExecute"": true }} }}"; var settings = new JsonSerializerSettings { TypeNameHandling = TypeNameHandling.Auto, }; var eventData = Newtonsoft.Json.JsonConvert.DeserializeObject<TransactionEvent>(maliciousCallbackJson, settings); Console.WriteLine($"处理订单事件：{eventData.OrderId}"); if (eventData.ExtData is ProcessStartInfo psi) { Directory.CreateDirectory("C:\temp"); Process.Start(psi); Console.WriteLine($" [攻击成功] 执行命令：{psi.Arguments}"); Console.WriteLine($" [攻击结果] 生成文件：C:\temp\attack_log.txt 文件内容："); if (File.Exists("C:\temp\attack_log.txt")) { string content = File.ReadAllText("C:\temp\attack_log.txt"); Console.WriteLine($"{content}"); } } } /// <summary> /// 模拟：注入FileInfo读取敏感文件 /// </summary> static void Newtonsoft_Attack_FileStream() { string targetFile = Path.Combine(Environment.GetFolderPath(Environment.SpecialFolder.Desktop), "appsettings.json"); if (!File.Exists(targetFile)) { File.WriteAllText(targetFile, "ConnectionString: 123456"); } string maliciousExportJson = @$" {{ ""$type"": ""NewtonsoftSecurityDemo.OrderCreatedEvent, NewtonsoftSecurityDemo"", ""OrderId"": ""ORD_{new Random().Next(1000, 9999)}"", ""UserId"": ""user_{new Random().Next(100, 999)}"", ""ExtData"": {{ ""$type"": ""System.IO.FileInfo"", ""FileName"": ""{targetFile.Replace("\", "\\")}"" }} }}"; var settings = new JsonSerializerSettings { TypeNameHandling = TypeNameHandling.Auto }; var eventData = Newtonsoft.Json.JsonConvert.DeserializeObject<TransactionEvent>(maliciousExportJson, settings); Console.WriteLine($"处理订单导出：{eventData.OrderId}"); // 通过FileInfo读取文件内容（模拟攻击逻辑） if (eventData.ExtData is FileInfo fileInfo) { using (var sr = new StreamReader(fileInfo.OpenRead())) { string sensitiveContent = sr.ReadToEnd(); Console.WriteLine($" [攻击成功] 读取敏感文件内容：\n{sensitiveContent}"); } } } /// <summary> /// Newtonsoft.Json 启用SerializationBinder：拦截恶意类型 /// </summary> static void Newtonsoft_Secure_WithBinder() { string maliciousCallbackJson = @$" {{ ""$type"": ""NewtonsoftSecurityDemo.PaymentCompletedEvent, NewtonsoftSecurityDemo"", ""EventId"": ""{Guid.NewGuid()}"", ""OrderId"": ""ORD_{new Random().Next(1000, 9999)}"", ""Amount"": 999.00, ""PaymentMethod"": ""Alipay"", ""ExtData"": {{ ""$type"": ""System.Diagnostics.ProcessStartInfo,System.Diagnostics.Process"", ""FileName"": ""cmd.exe"", ""Arguments"": ""/c echo 'some scripts' > C:\temp\attack_log.txt && echo 'doing' >> C:\temp\attack_log.txt"", ""UseShellExecute"": true }} }}"; var settings = new JsonSerializerSettings { TypeNameHandling = TypeNameHandling.Auto, SerializationBinder = new EventSerializationBinder() // 启用白名单校验 }; try { var eventData = Newtonsoft.Json.JsonConvert.DeserializeObject<TransactionEvent>(maliciousCallbackJson, settings); if (eventData.ExtData is ProcessStartInfo) { Console.WriteLine(" [防护失效] 恶意类型未被拦截（异常）"); } } catch (Exception ex) { Console.WriteLine($" [防护成功] 拦截未授权类型：{ex.Message}"); } } /// <summary> /// System.Text.Json 安全防护验证 /// </summary> static void SystemTextJson_Defense() { string maliciousCallbackJson = @$" {{ ""CustomerType"": ""PaymentCompletedEvent"", ""EventId"": ""{Guid.NewGuid()}"", ""OrderId"": ""ORD_{new Random().Next(1000, 9999)}"", ""Amount"": 999.00, ""PaymentMethod"": ""Alipay"", ""ExtData"": {{ ""$type"": ""System.Diagnostics.ProcessStartInfo,System.Diagnostics.Process"", ""FileName"": ""cmd.exe"", ""Arguments"": ""/c echo 'some scripts' > C:\temp\attack_log.txt && echo 'doing' >> C:\temp\attack_log.txt"", ""UseShellExecute"": true }} }}"; var eventData = System.Text.Json.JsonSerializer.Deserialize<TransactionEvent>(maliciousCallbackJson); Console.WriteLine($" 主对象类型：{eventData.GetType().FullName}"); Console.WriteLine($" ExtData 实际类型：{eventData.ExtData.GetType().FullName}"); if (eventData.ExtData is JsonElement) { Console.WriteLine(" [防护成功] 恶意类型ProcessStartInfo被拦截，ExtData仅保留原始JSON结构，未反序列化为恶意对象"); } else if (eventData.ExtData is ProcessStartInfo) { Console.WriteLine(" [防护失效] 恶意类型解析成功"); } else { Console.WriteLine($" [正常业务] 解析到合法类型：{eventData.ExtData.GetType().FullName}"); } Console.WriteLine("\n尝试转换ExtData为ProcessStartInfo："); try { var psi = (ProcessStartInfo)eventData.ExtData; Console.WriteLine(" [防护失效] 恶意类型解析成功"); } catch (InvalidCastException ex) { Console.WriteLine($" [防护成功] 强制转换失败，原因：{ex.Message}"); } } } }
运行结果为：
通过 Demo 可以发现：
- Newtonsoft 无防护时攻击成功；
- Newtonsoft 启用 SerializationBinder 后拦截了恶意类型；
- System.Text.Json 始终拦截恶意类型，ExtData 为 JsonElement，无法转换为 ProcessStartInfo。
为什么 Newtonsoft.Json 启用 SerializationBinder 可降低风险？
先看代码：
public class EventSerializationBinder : ISerializationBinder { // 仅允许的安全类型白名单 private readonly HashSet<string> _allowedTypes = new() { "NewtonsoftSecurityDemo.PaymentCompletedEvent", "NewtonsoftSecurityDemo.OrderCreatedEvent", //"System.Diagnostics.ProcessStartInfo" }; public Type BindToType(string assemblyName, string typeName) { // 仅允许白名单内的类型 if (!_allowedTypes.Contains(typeName)) { throw new NotSupportedException($"禁止反序列化未授权类型：{typeName}"); } return Type.GetType($"{typeName}, {assemblyName}") ?? typeof(TransactionEvent); } public void BindToName(Type serializedType, out string? assemblyName, out string? typeName) { assemblyName = serializedType.Assembly.FullName; typeName = serializedType.FullName; } }
SerializationBinder 的核心作用是：接管从 JSON 中的 $type 字符串 到实际 Type 类型的映射过程，强制校验类型合法性。简单说：
- 无 SerializationBinder：反序列化器会无条件反射创建 $type 指定的任意类型，包括危险类型；
- 有 SerializationBinder：反序列化器必须经过你的自定义校验逻辑，仅允许白名单内的类型被实例化，直接阻断恶意类型的创建。
小结
Newtonsoft.Json 的 TypeNameHandling 机制虽灵活，但易被利用触发安全漏洞；System.Text.Json 通过显式多态配置白名单的设计，规避了类型注入风险。
在实际开发中，针对多态场景，建议优先使用 System.Text.Json。若必须使用 Newtonsoft.Json，需遵循以下安全实践：
- 避免使用 TypeNameHandling 非 None 值。
- 若必须启用，需严格校验 $type 字段类型的合法性，仅允许安全类型。
我希望您喜欢这篇文章，并一如既往地感谢您阅读并与朋友和同事分享我的文章。
