新的 fastjson 漏洞

唉，这玩意，纯坑啊

虽然但是现在为什么还要用 1.x 版本

不都到 2.0.62 版本了吗？ 1.X 版本都不维护了。

springboot 自带 JacksonJson ，我也不理解用 fastjson 的人怎么想的

这玩意究竟是谁在用

用这个的人也不在乎什么 CVE 了

搞不懂 java 都快迭代到 version 30 了，還沒有一個完美的 json 解析器...

@4seasons
[JEP 540: Simple JSON API (Incubator)]( https://openjdk.org/jeps/540) 官方准备出手了
[JEP 198: Light-Weight JSON API]( https://openjdk.org/jeps/198) 话说之前好像就有一个

@4seasons #7 之前的 Java log 标准库推广非常不成功.

不慌，我们用的 Jackson ，一样有洞要经常补。

支付宝最新 sdk 还在依赖 2022 年的 1.2.83_noneautotype 有啥说法吗😂

https://mvnrepository.com/artifact/com.alipay.sdk/alipay-sdk-java/4.40.906.ALL/dependencies

@connor123 有的选吗🤡

戈登的心里咯噔了一下，好吧，我们还在用。恰好 1.2.83

我们就中反 shell ，不知道是不是因为这个

安全，fast ，简单 之不可能三角

升级到 2.x

2.x 版本也出了好几年了吧，为啥还要坚持 1.x,能迁移尽早迁

@4seasons 主要是要求很多。。。傻瓜式的解析

不知道这东西的需求是啥。
如果是在 JSON 基础上扩展功能也可以理解。
很多不符合 JSON RFC 的 JSON 也支持解析，不知道怎么想的。

net 的，不是 java 开发，但是管了一些开发 java 的。 看了些代码，真的就是 java 的 json 感觉一直都是问题。。。

不想升级 jar 包的， 可以加 jvm 参数进入安全模式

在 java 玩 json 真的是福报

@xiangyuecn _noneautotype 版本是不受影响的，等同于开启 safemode

@devzhi 国内一堆作坊在用！

fastjson 是真的坑

人家叫 "fast"json ，又不是叫 "safe"json ！

Java 已经在下跌大趋势了，都是因为被你们这样黑！你们这些黑子还有完没完了！

😂😂😂

@lesismal 你就说快不快吧