go語言unmarshal反序列化json數(shù)據(jù)，類型不確定怎么辦？
作者： 發(fā)布日期：2025-06-24 08:00:10
眾所周知，J***a 的 ????json 反序列化漏洞養(yǎng)活了國內(nèi)大半的安全從業(yè)人員。
作為一個前 J***a 現(xiàn) Go選手，Go 中容易寫出來的安全漏洞的代碼我也搞過幾十個案例，最近我又在網(wǎng)絡(luò)上發(fā)現(xiàn)了一個 Go 中 json 反序列化的非預(yù)期行為可以繞過身份驗證、規(guī)避授權(quán)控制的案例。
舉個例子。
***設(shè) 用戶 結(jié)構(gòu)體如下 type User struct { Username string `json:"username,omitempty"` Password string `json:"password,omitempty"` IsAdmin bool `…。
