[item 89]인스턴스 수를 통제해야 한다면 readResolve보다는 열거 타입을 사용하라

최초 코드

public class Elvis {
	public static final Elvis INSTANCE = new Elvis();
	private Elvis();

	public void leaveTheBuilding() {...}

	// 인스턴스 통제를 위한 readResolve
	public Object readResolve() {
		return INSTANCE;
	}
}

• 위와 같은 싱글턴에 readResolve 메서드를 주어 인스턴스를 통제함
  • readResolve는 인스턴스를 역직렬화 할 경우에 기존 역직렬화할 때 사용했던 인스턴스를 불러와 인스턴스가 오직 하나만 만들어질 수 있게 보장해주는 역할을 한다.
  • readResolve 기능을 이용하면 readObject가 만들어낸 인스턴스를 다른 것으로 대체할 수 있다. 메서드를 적절히 정의해 둔다면, 역직렬화된 새 객체를 인수로 하여 메서드가 호출되고, 기존 (직렬화 하기전인) 객체 참조가 반환된다. 이후 역직렬화된 새 객체는 가비지 컬렉션 대상이 된다.
  • 문제점) readResolve를 인스턴스 통제 목적으로 사용한다면 객체 참조 타입 인스턴스 필드는 모두 transient로 선언해야 한다.
• 즉, 싱글턴에 transient가 선언되지 않은 필드가 있다면 공격의 여지가 생긴다.

first draft

public class Elvis implements Serializable {
	public static final Elvis INSTANCE = new Elvis();
  private Elvis() { }

  private String[] favoriteSongs = {"Hound Dog", "Heartbreak Hotel"};
 
  public void printFavorites() {
    System.out.println(Arrays.toString(favoriteSongs));
  }
  
  private Object readResolve() {
    return INSTANCE;
  }
}

• 싱글턴이 non_transient 한 참조 필드를 가지고 있다면, 그 필드의 내용은 readResolve 메서드가 실행되기 전에 역직렬화된다.
• 잘 조작된 스트림을 써서 해당 참조 필드의 내용이 역직렬화되는 시점에 해당 인스턴스의 참조를 훔쳐올 수 있다.

first draft 공격(도둑 클래스 및 실행코드)

public class ElvisStealer implements Serializable {
  private static final long serialVersionUID = 0;
  static Elvis impersonator;
  private Elvis payload;
  
  private Object readResolve() {
    // resolve되기 전의 Elvis 인스턴스의 참조를 저장
    impersonator = payload;
    // favoriteSongs 필드에 맞는 타입의 객체를 반환
    return new String[] {"There is no cow level"};
  }
}

public class ElvisImpersonator {
  private static final byte[] serializedForm = new byte[]{
      (byte) 0xac, (byte) 0xed, 0x00, 0x05, 0x73, 0x72, 0x00, 0x05,
      // 코드 생략
  };
  
  private static Object deserialize(byte[] sf) {
		try (ByteArrayInputStream byteArrayInputStream = new ByteArrayInputStream(sf)) {
      try (ObjectInputStream objectInputStream = new ObjectInputStream(byteArrayInputStream)) {
        return objectInputStream.readObject();
      } catch (IOException | ClassNotFoundException e) {
        throw new IllegalArgumentException(e);
      }
  }
  
  public static void main(String[] args) {
    // ElvisStealer.impersonator 를 초기화한 다음,
    // 진짜 Elvis(즉, Elvis.INSTANCE)를 반환
    Elvis elvis = (Elvis) deserialize(serializedForm);
    Elvis impersonator = ElvisStealer.impersonator;
    elvis.printFavorites(); // [Hound Dog, Heartbreak Hotel]
    impersonator.printFavorites(); // [There is no cow level]
  }
}

• 싱글턴에 서로 다른 두 개의 인스턴스를 생성할 수 있음을 증명한 코드
• 참조를 훔쳐와 다른 값을 넣었다(impersonator)
• 모든 필드를 transient 선언을 해서 고칠 수도 있지만, Elvis를 원소 하나짜리 열거 타입으로 바꾸는 편이 더 낫다.

해결책

public enum Elvis {
	INSTANCE;
	private String[] favoriteSongs = 
		{"Hound Dog", "Heartbreak Hotel"};
	private void printFavourites() {
		System.out.println(Arrays.toString(favoriteSongs));
	}
}

• 직렬화 가능한 인스턴스 통제 클래스를 열거 타입을 이용해 구현하면 선언한 상수 외에 다른 객체는 존재하지 않음을 자바가 보장해준다.
• 공격자가 AccessibleObject.setAccessible 메서드와 같은 특권 메서드를 악용했을 때는 예외다. (임의의 네이티브 코드를 수행할 수 있는 특권을 가로챈 공격자에게는 모든 방어가 무력화된다.)

readResolve 방식은 언제 사용?

• 컴파일타임에는 어떤 인스턴스들이 있는지 알 수 없는 상황엔 열거 타입 사용이 불가능하다.

readResolve 메서드의 접근제한자 작성

• final 클래스라면 private
• final이 아닌 클래스라면 메서드 사용을 허가할 범위를 고려해 접근제한자를 작성한다. (private, package-private, protexted, public)

 

정리

불변식을 지키기 위해 인스턴스를 통제헤야 한다면 열거 타입을 사용하라.
열거 타입 사용이 여의치 않은 상황에서 직렬화와 인스턴스 통제를 하려면 
readResolve메서드를 작성해 넣고, 클래스의 참조 타입 인스턴스 필드를 transient로 선언한다.