json-lib 之jsonConfig具体应用

一，setCycleDetectionStrategy 防止自包含

public static void testCycleObject（） { 
        CycleObject object = new CycleObject（）; 
        object.setMemberId（"yajuntest"）; 
        object.setSex（"male"）; 
        JsonConfig jsonConfig = new JsonConfig（）; 
        jsonConfig.setCycleDetectionStrategy（CycleDetectionStrategy.LENIENT）;

JSONObject json = JSONObject.Object（object， jsonConfig）; 
        System.out.println（json）; 
    }

public static void main（String[] args） { 
               JsonTest.testCycleObject（）; 
    }此中 CycleObject.java是我本身写的一个类：

public class CycleObject {

private String      memberId; 
    private String      sex; 
    private CycleObject me = this; 
…… // getters && setters 
} 
二，setExcludes：打消须要序列化成json的属性

public static void testExcludeProperites（） { 
        String str = "{""string"":""JSON""， ""integer"": 1， ""double"": 2.0， ""boolean"": true}"; 
        JsonConfig jsonConfig = new JsonConfig（）; 
        jsonConfig.setExcludes（new String[] { "double"， "boolean" }）; 
        JSONObject jsonObject = （JSONObject） JSerializer.toJSON（str， jsonConfig）; 
        System.out.println（jsonObject.getString（"string"））; 
        System.out.println（jsonObject.getInt（"integer"））; 
        System.out.println（jsonObject.has（"double"））; 
        System.out.println（jsonObject.has（"boolean"））; 
    }

public static void main（String[] args） { 
        JsonTest.testExcludeProperites（）; 
    } 
三，setIgnoreDefaultExcludes

＠SuppressWarnings（"unchecked"） 
public static void testMap（） { 
Map map = new HashMap（）; 
map.put（"name"， "json"）; 
map.put（"class"， "ddd"）; 
JsonConfig config = new JsonConfig（）; 
config.setIgnoreDefaultExcludes（true）;  //默认为false，即过滤默认的key 
JSONObject jsonObject = JSONObject.Object（map，config）; 
System.out.println（jsonObject）;

} 
上方的代把name 和 class都输出。

而去掉setIgnoreDefaultExcludes（true）的话，就只会输出name，不会输出class。

private static final String[] DEFAULT_EXCLUDES = new String[] { "class"， "declaringClass"， 
         "metaClass" }; // 默认会过滤的几个key 
四，registerJsonBeanProcessor 当value类型是从java的一个bean转化过来的时辰，可以供给自定义处理惩罚器

public static void testMap（） { 
Map map = new HashMap（）; 
map.put（"name"， "json"）; 
map.put（"class"， "ddd"）; 
map.put（"date"， new Date（））; 
JsonConfig config = new JsonConfig（）; 
config.setIgnoreDefaultExcludes（false）; 
config.registerJsonBeanProcessor（Date.class， 
new JsDateJsonBeanProcessor（））; // 当输出时候格局时，采取和JS兼容的格局输出 
JSONObject jsonObject = JSONObject.Object（map， config）; 
System.out.println（jsonObject）; 
} 
注:JsDateJsonBeanProcessor 是json-lib已经供给的类，我们也可以实现本身的JsonBeanProcessor。

五，registerJsonValueProcessor

六，registerDefaultValueProcessor

为了演示，起首我本身实现了两个 Processor

一个针对Integer

public class MyDefaultIntegerValueProcessor implements DefaultValueProcessor {

public Object getDefaultValue（Class type） { 
if （type != null && Integer.class.isAssignableFrom（type）） { 
return Integer.valueOf（9999）; 
} 
return JSONNull.getInstance（）; 
}

} 
一个针对PlainObject（我自定义的类）

public class MyPlainObjectProcessor implements DefaultValueProcessor {

public Object getDefaultValue（Class type） { 
if （type != null && PlainObject.class.isAssignableFrom（type）） { 
return "美男" + "瑶瑶"; 
} 
return JSONNull.getInstance（）; 
} 
} 
以上两个类用于处理惩罚当value为null的时辰该如何输出。

还筹办了两个通俗的自定义bean

PlainObjectHolder：

public class PlainObjectHolder {

private PlainObject object; // 自定义类型 
private Integer a; // JDK自带的类型

public PlainObject getObject（） { 
return object; 
}

public void setObject（PlainObject object） { 
this.object = object; 
}

public Integer getA（） { 
return a; 
}

public void setA（Integer a） { 
this.a = a; 
}

} 
PlainObject 也是我本身定义的类

public class PlainObject {

private String memberId; 
    private String sex;

public String getMemberId（） { 
        return memberId; 
    }

public void setMemberId（String memberId） { 
        this.memberId = memberId; 
    }

public String getSex（） { 
        return sex; 
    }

public void setSex（String sex） { 
        this.sex = sex; 
    }

} 
A，若是JSONObject.Object（null） 这个参数直接传null进去，json-lib会怎么处理惩罚

public static JSONObject Object（ Object object， JsonConfig jsonConfig ） { 
      if（ object == null || JSONUtils.isNull（ object ） ）{ 
         return new JSONObject（ true ）; 
看代码是直接返回了一个空的JSONObject，没有效到任何默认值输出。

B，其次，我们看若是java对象直接是一个JDK中已经有的类（什么指Enum，Annotation，JSONObject，DynaBean，JSONTokener，JString，Map，String，Number，Array），然则值为null ，json-lib如何处理惩罚

JSONObject.java

}else if（ object instanceof Enum ）{ 
         throw new JSONException（ """object"" is an Enum. Use JSONArray instead" ）; // 不支撑列举 
      }else if（ object instanceof Annotation || （object != null && object.getClass（） 
            .isAnnotation（）） ）{ 
         throw new JSONException（ """object"" is an Annotation." ）; // 不支撑 注解 
      }else if（ object instanceof JSONObject ）{ 
         return _JSONObject（ （JSONObject） object， jsonConfig ）; 
      }else if（ object instanceof DynaBean ）{ 
         return _DynaBean（ （DynaBean） object， jsonConfig ）; 
      }else if（ object instanceof JSONTokener ）{ 
         return _JSONTokener（ （JSONTokener） object， jsonConfig ）; 
      }else if（ object instanceof JString ）{ 
         return _JString（ （JString） object， jsonConfig ）; 
      }else if（ object instanceof Map ）{ 
         return _Map（ （Map） object， jsonConfig ）; 
      }else if（ object instanceof String ）{ 
         return _String（ （String） object， jsonConfig ）; 
      }else if（ JSONUtils.isNumber（ object ） || JSONUtils.isBoolean（ object ） 
            || JSONUtils.isString（ object ） ）{ 
         return new JSONObject（）;  // 不支撑纯数字 
      }else if（ JSONUtils.isArray（ object ） ）{ 
         throw new JSONException（ """object"" is an array. Use JSONArray instead" ）; //不支撑数组，须要用JSONArray调换 
      }else{ 
按照以上代码，首要发明_Map是不支撑应用DefaultValueProcessor 的。

原因看代码：

JSONObject.java

if（ value != null ）{ //大的前提前提，value不为空 
               JsonValueProcessor jsonValueProcessor = jsonConfig.findJsonValueProcessor（ 
                     value.getClass（）， key ）; 
               if（ jsonValueProcessor != null ）{ 
                  value = jsonValueProcessor.processObjectValue（ key， value， jsonConfig ）; 
                  if（ !JsonVerifier.isValidJsonValue（ value ） ）{ 
                     throw new JSONException（ "Value is not a valid JSON value. " + value ）;
                  } 
               } 
               setValue（ jsonObject， key， value， value.getClass（）， jsonConfig ）; 
private static void setValue（ JSONObject jsonObject， String key， Object value， Class type， 
         JsonConfig jsonConfig ） { 
      boolean accumulated = false; 
      if（ value == null ）{ // 当 value为空的时辰应用DefaultValueProcessor 
         value = jsonConfig.findDefaultValueProcessor（ type ） 
               .getDefaultValue（ type ）; 
         if（ !JsonVerifier.isValidJsonValue（ value ） ）{ 
            throw new JSONException（ "Value is not a valid JSON value. " + value ）; 
         } 
      } 
…… 
按照我的注释， 上方的代码显然是存在抵触。

_DynaBean是支撑DefaultValueProcessor的和下面的C是一样的。

C，我们看若是 java 对象是自定义类型的，并且里面的属性包含空值（没赋值，默认是null）也就是上方B还没贴出来的最后一个else

else {return _Bean（ object， jsonConfig ）;} 
我写了个测试类：

public static void testDefaultValueProcessor（） { 
PlainObjectHolder holder = new PlainObjectHolder（）; 
JsonConfig config = new JsonConfig（）; 
config.registerDefaultValueProcessor（PlainObject.class， 
new MyPlainObjectProcessor（））; 
config.registerDefaultValueProcessor（Integer.class， 
new MyDefaultIntegerValueProcessor（））; 
JSONObject json = JSONObject.Object（holder， config）; 
System.out.println（json）; 
} 
这种景象的输出值是 {"a":9999，"object":"美男瑶瑶"} 
即两个Processor都起感化了。

========================== Json To Java ===============

一，ignoreDefaultExcludes

public static void json2java（） { 
String jsonString = "{""name"":""hello""，""class"":""ddd""}"; 
JsonConfig config = new JsonConfig（）; 
config.setIgnoreDefaultExcludes（true）; // 与JAVA To Json的时辰一样，不设置class属性无法输出 
JSONObject json = （JSONObject） JSerializer.toJSON（jsonString，config）; 
System.out.println（json）; 
} 
========================== JSON 输出的安然题目 ===============

我们做法度的时辰主如果应用 Java To Json的体式格式，下面描述的是 安然性题目：

＠SuppressWarnings（"unchecked"） 
    public static void testSecurity（） { 
        Map map = new HashMap（）; 
        map.put（""} {"， ""）; 
        JSONObject jsonObject = JSONObject.Object（map）; 
        System.out.println（jsonObject）; 
    } 
public static void main（String[] args） { 
        JsonTest.testSecurity（）; 
    } 
输出的内容：

{""} {":"" }

若是把这段内容直接贴到记事本里面，定名为 testSecu.html ，然后用浏览器打开辟明履行了此中的 js脚本。如许就轻易产生XSS安然题目。