신뢰할 수 없는 직렬화 데이터를 역직렬화하는 과정에서 객체 생성 시 실행되는 메서드 체인이 악용되었다. 우선 개선책은?

정답 3번

위험은 입력값이 단순 데이터가 아니라 실행 가능한 타입의 생성과 메서드 호출을 유도한다는 데 있다. 허용한 필드·자료형만 읽는 단순 데이터 모델을 사용하고, 외부 입력이 생성할 클래스를 선택하지 못하게 해야 한다. 형식만 JSON으로 바꿔도 임의 타입 복원을 허용하면 같은 위험이 남는다. 알려진 클래스 몇 개의 차단 목록은 새로운 호출 경로를 놓칠 수 있고, 객체 생성 후 검사는 생성 과정에서 이미 실행된 동작을 되돌리지 못한다.