眾所周知，J***a 的 ????json 反序列化漏洞養活了國內大半的安全從業人員。

作為一個前 J***a 現 Go選手，Go 中容易寫出來的安全漏洞的代碼我也搞過幾十個案例，最近我又在網絡上發現了一個 Go 中 json 反序列化的非預期行為可以繞過身份驗證、規避授權控制的案例。

舉個例子。

***設 用戶 結構體如下 type User struct { Username string `json:"username,omitempty"` Password string `json:"password,omitempty"` IsAdmin bool `…。