• 為什么要替換fastjson
• 框架選型
• 替換fastjson
• Deserialization
• Serialization
• Annotation
• JSONObject & JSONArray
• JSONPath
• 自定義擴(kuò)展

為什么要替換fastjson

工程里大量使用了fastjson作為序列化和反序列化框架，甚至ORM在處理部分字段也依賴fastjson進(jìn)行序列化和反序列化。那么作為大量使用的基礎(chǔ)框架，為什么還要進(jìn)行替換呢？

原因有以下幾點(diǎn)：

1. fastjson太過(guò)于側(cè)重性能，對(duì)于部分高級(jí)特性支持不夠，而且部分自定義特性完全偏離了json和js規(guī)范導(dǎo)致和其他框架不兼容；
2. fastjson文檔缺失較多，部分Feature甚至沒(méi)有文檔，而且代碼缺少注釋較為晦澀；
3. fastjson的CVE bug監(jiān)測(cè)較弱，很多CVE數(shù)據(jù)庫(kù)網(wǎng)站上有關(guān)fastjson的CVE寥寥無(wú)幾，例如近期的AutoType導(dǎo)致的高危漏洞，雖然和Jackson的PolymorphicDeserialization是同樣的bug，但是CVE網(wǎng)站上幾乎沒(méi)有fastjson的bug報(bào)告。

框架選型

參考mvnrepository json libraries，根據(jù)流行度排序后前十名框架：

• jackson2(com.fasterxml.jackson)
• gson
• org.json
• jackson1(com.codehuas.jackson)
• fastjson
• cheshire
• json-simple

jackson1是已經(jīng)過(guò)時(shí)的框架，因此可以忽略，cheshire和json-simple排名尚且不如fastjson，也忽略，剩余jackson2、gson以及org.json，其中org.json的使用量(usage)遠(yuǎn)小于jackson2(方便起見(jiàn)，下文均以jackson均指代jackson2)和gson，因此org.json也可以排除了。

關(guān)于jackson和gson的比較文章有很多，stackoverflow上自行搜索，下面僅推薦幾篇blog：

• jackson vs gson
• JSON in Java
• the ultimate json library json-simple vs gson vs jackson vs json

在功能特性支持、穩(wěn)定性、可擴(kuò)展性、易用性以及社區(qū)活躍度上 jackson 和 gson 差不多，入門(mén)教程可以分別參考baeldung jackson系列 以及 baeldung gson系列。但是jackson有更多現(xiàn)成的類庫(kù)兼容支持例如jackson-datatype-commons-lang3，以及更豐富的輸出數(shù)據(jù)格式支持例如jackson-dataformat-yaml，而且spring框架默認(rèn)使用jackson，因此最終我選擇使用jackson。

PS: Jackson 2.10.0開(kāi)始嘗試基于新的API使用白名單機(jī)制來(lái)避免RCE漏洞，詳見(jiàn)https://github.com/FasterXML/jackson-databind/issues/2195，效果尚待觀察。

替換fastjson

fastjson常見(jiàn)的使用場(chǎng)景就是序列化和反序列化，偶爾會(huì)有JSONObject和JSONArray實(shí)例的相關(guān)操作。

以下步驟的源碼分析基于以下版本：

• fastjson v1.2.60
• jackson-core v2.9.9
• jackson-annotations v2.9.0
• jackson-databind v2.9.9.3

Deserialization

fastjson將json字符串反序列化成Java Bean通常使用com.alibaba.fastjson.JSON的靜態(tài)方法(JSONObject和JSONArray的靜態(tài)方法也是來(lái)自于JSON)，常用的有以下幾個(gè)API：

public static JSONObject parseObject(String text);

public static JSONObject parseObject(String text, Feature... features);

public static <T> T parseObject(String text, Class<T> clazz);

public static <T> T parseObject(String text, Class<T> clazz, Feature... features);

public static <T> T parseObject(String text, TypeReference<T> type, Feature... features);

public static JSONArray parseArray(String text);

public static <T> List<T> parseArray(String text, Class<T> clazz);

從方法入?yún)⒕湍懿碌?，fastjson在執(zhí)行反序列化時(shí)的Parse行為由com.alibaba.fastjson.parser.Feature指定。研究parseObject的源碼后，發(fā)現(xiàn)底層最終都是使用的以下方法：

public static <T> T parseObject(String input, Type clazz, ParserConfig config, ParseProcess processor, int featureValues, Feature... features) {
        if (input == null) {
            return null;
        }

        // featureValues作為基準(zhǔn)解析特性開(kāi)關(guān)值
        // 入?yún)eatures和featureValues取并集得到最終的解析特性
        if (features != null) {
            for (Feature feature : features) {
                featureValues |= feature.mask;
            }
        }

        DefaultJSONParser parser = new DefaultJSONParser(input, config, featureValues);

        if (processor != null) {
            if (processor instanceof ExtraTypeProvider) {
                parser.getExtraTypeProviders().add((ExtraTypeProvider) processor);
            }

            if (processor instanceof ExtraProcessor) {
                parser.getExtraProcessors().add((ExtraProcessor) processor);
            }

            if (processor instanceof FieldTypeResolver) {
                parser.setFieldTypeResolver((FieldTypeResolver) processor);
            }
        }

        T value = (T) parser.parseObject(clazz, null);

        parser.handleResovleTask(value);

        parser.close();

        return (T) value;
    }

通過(guò)IDE搜索usage后，發(fā)現(xiàn)當(dāng)沒(méi)有作為基準(zhǔn)解析特性開(kāi)關(guān)的featureValues入?yún)r(shí)，都是使用的DEFAULT_PARSE_FEATURE作為基準(zhǔn)解析特性開(kāi)關(guān)，以下是JSON.DEFAULT_PARSE_FEATURE的實(shí)例化代碼：

static {
        int features = 0;
        features |= Feature.AutoCloseSource.getMask();
        features |= Feature.InternFieldNames.getMask();
        features |= Feature.UseBigDecimal.getMask();
        features |= Feature.AllowUnQuotedFieldNames.getMask();
        features |= Feature.AllowSingleQuotes.getMask();
        features |= Feature.AllowArbitraryCommas.getMask();
        features |= Feature.SortFeidFastMatch.getMask();
        features |= Feature.IgnoreNotMatch.getMask();
        DEFAULT_PARSER_FEATURE = features;
}

fastjson還會(huì)從環(huán)境變量中讀取配置來(lái)修改DEFAULT_PARSER_FEATURE(雖然很少會(huì)有人這么做)，但最好還是通過(guò)實(shí)際運(yùn)行一下程序來(lái)確認(rèn)你的環(huán)境中的實(shí)際解析特性開(kāi)關(guān)。

    @Test
    public void printFastJsonDefaultParserFeature() {
        for (Feature feature : Feature.values()) {
            if (Feature.isEnabled(JSON.DEFAULT_PARSER_FEATURE, feature)) {
                System.out.println(feature);
            }
        }
    }

fastjson 和 jackson的反序列化特性對(duì)照表

反序列化fastjson和jackson的特性TestCase見(jiàn)DeserializationUseJacksonReplaceFastJsonTest.java

Serialization

fastjson將Java Bean序列化成json字符串通常也是使用com.alibaba.fastjson.JSON的靜態(tài)方法(JSONObject和JSONArray的靜態(tài)方法也是來(lái)自于JSON)，常用的有以下幾個(gè)API：

public static String toJSONString(Object object);

public static String toJSONString(Object object, SerializerFeature... features);

public static String toJSONStringWithDateFormat(Object object, String dateFormat, SerializerFeature... features);

public static String toJSONString(Object object, boolean prettyFormat);

public static void writeJSONString(Writer writer, Object object, SerializerFeature... features);

從方法入?yún)⒁材芸闯觯谛蛄谢瘯r(shí)，fastjson的特性由SerializerFeature控制，研究toJSONString的源碼后，發(fā)現(xiàn)最終都會(huì)調(diào)用以下方法：

 public static String toJSONString(Object object, SerializeConfig config, SerializeFilter[] filters, String dateFormat, int defaultFeatures, SerializerFeature... features) {
         SerializeWriter out = new SerializeWriter(null, defaultFeatures, features);

         try {
             JSONSerializer serializer = new JSONSerializer(out, config);

             if (dateFormat != null && dateFormat.length() != 0) {
                 serializer.setDateFormat(dateFormat);
                 serializer.config(SerializerFeature.WriteDateUseDateFormat, true);
             }

             if (filters != null) {
                 for (SerializeFilter filter : filters) {
                     serializer.addFilter(filter);
                 }
             }

             serializer.write(object);

             return out.toString();
         } finally {
             out.close();
         }
     }

通過(guò)IDE搜索usage后，發(fā)現(xiàn)當(dāng)沒(méi)有作為基準(zhǔn)解析特性開(kāi)關(guān)的defaultFeatures入?yún)r(shí)，都是使用的DEFAULT_GENERATE_FEATURE作為基準(zhǔn)解析特性開(kāi)關(guān)，以下是JSON.DEFAULT_GENERATE_FEATURE的實(shí)例化代碼：

static {
        int features = 0;
        features |= SerializerFeature.QuoteFieldNames.getMask();
        features |= SerializerFeature.SkipTransientField.getMask();
        features |= SerializerFeature.WriteEnumUsingName.getMask();
        features |= SerializerFeature.SortField.getMask();

        DEFAULT_GENERATE_FEATURE = features;

        config(IOUtils.DEFAULT_PROPERTIES);
    }

fastjson還會(huì)從環(huán)境變量中讀取配置來(lái)修改DEFAULT_GENERATE_FEATURE(雖然很少會(huì)有人這么做)，但最好還是通過(guò)實(shí)際運(yùn)行一下程序來(lái)確認(rèn)你的環(huán)境中的實(shí)際解析特性開(kāi)關(guān)。

    @Test
    public void printFastJsonDefaultGenerateFeature() {
        for (SerializerFeature feature : SerializerFeature.values()) {
            if (SerializerFeature.isEnabled(JSON.DEFAULT_GENERATE_FEATURE, feature)) {
                System.out.println(feature);
            }
        }
    }

fastjson 和 jackson的序列化特性對(duì)照表

序列化fastjson和jackson的特性TestCase見(jiàn)SerializationUseJacksonReplaceFastJsonTest.java

Annotation

fastjsonzhu相對(duì)于jackson來(lái)說(shuō)注解的功能劃分的并沒(méi)有那么細(xì)，因此fastjson的一個(gè)注解可能等價(jià)于jackson多個(gè)注解的組合。

@JSONPOJOBuilder

指定反序列化時(shí)創(chuàng)建java對(duì)象使用的build方法，對(duì)應(yīng)jackson的@JsonPOJOBuilder。

@JSONCreator

指定反序列化時(shí)創(chuàng)建java對(duì)象使用的構(gòu)造方法，對(duì)應(yīng)jackson的@JsonCreator。

@JSONField

指定序列化和反序列化field時(shí)的行為。反序列化時(shí)，等價(jià)于@JsonProperty + @JsonDeserialize + @JsonUnwrapped + @JsonFormat+ @JsonAlias；序列化時(shí)，等價(jià)于@JsonProperty + @JsonSerialize + @JsonUnwrapped + @JsonFormat + @JsonRawValue + @JsonView。

@Retention(RetentionPolicy.RUNTIME)
@Target({ ElementType.METHOD, ElementType.FIELD, ElementType.PARAMETER })
public @interface JSONField {
    // 序列化和反序列化時(shí)的字段順序，等價(jià)于jackson的@JsonProperty.index()
    int ordinal() default 0;

    // 序列化和反序列化時(shí)的字段名稱映射，等價(jià)于jackson的@JsonProperty.value()
    String name() default "";

    // 序列化和反序列化時(shí)的數(shù)據(jù)格式（日期格式、16進(jìn)制等等），等價(jià)于jackson的@JsonFormat.shape() + @JsonFormat.pattern()
    String format() default "";

    // 字段是否序列化，等價(jià)于jackson的@JsonProperty.access()
    boolean serialize() default true;

    // 字段是否反序列化，等價(jià)于jackson的@JsonProperty.access()
    boolean deserialize() default true;

    // 序列化特性，等價(jià)于jackson的@JsonProperty.with()
    SerializerFeature[] serialzeFeatures() default {};

    // 反序列化特性，等價(jià)于jackson的@JsonFormat.with()
    Feature[] parseFeatures() default {};

    // 對(duì)屬性進(jìn)行打標(biāo)，便于在序列化時(shí)進(jìn)行exclude或include，等價(jià)于jackson的@JsonView
    String label() default "";

    // 序列化時(shí)將字段內(nèi)容直接輸出，不經(jīng)過(guò)轉(zhuǎn)義，等價(jià)于jackson的@JsonRawValue
    boolean jsonDirect() default false;

    // 指定序列化時(shí)使用的Serializer Class，等價(jià)于jackson的@JsonSerialize
    Class<?> serializeUsing() default Void.class;

    // 指定反序列化時(shí)使用的Deserializer Class，等價(jià)于jackson的@JsonDeserialize
    Class<?> deserializeUsing() default Void.class;

    // 指定反序列化時(shí)使用的字段別名，等價(jià)于jackson的@JsonAlias
    String[] alternateNames() default {};

    // 將字段的子屬性映射到父節(jié)點(diǎn)上，等價(jià)于jackson的@JsonUnwrapped
    boolean unwrapped() default false;

    // 指定序列化時(shí)字段為null時(shí)使用的默認(rèn)值，等價(jià)于jackson的@JsonProperty.defaultValue()
    String defaultValue() default "";
}

unwrapped的用法可以參考AnnotationUseJacksonReplaceFastJsonTest.java中的testJSONFieldUnwrapped。

@JSONType

指定序列化和反序列化一個(gè)Java Bean時(shí)的行為。

@Retention(RetentionPolicy.RUNTIME)
@Target({ ElementType.TYPE })
public @interface JSONType {

    // 是否使用asm優(yōu)化，jackson無(wú)對(duì)應(yīng)特性
    boolean asm() default true;

    // 序列化和反序列化時(shí)的field排序，等價(jià)于jackson的@JsonPropertyOrder.value()
    String[] orders() default {};

    // 序列化和反序列化時(shí)包含的field，等價(jià)于jackson的
    String[] includes() default {};

    // 序列化和反序列化時(shí)忽略的field，等價(jià)于jackson的@JsonIgnoreProperties
    String[] ignores() default {};

    // 序列化特性，等價(jià)于jackson的@JsonProperty.with()
    SerializerFeature[] serialzeFeatures() default {};

    // 反序列化特性，等價(jià)于jackson的@JsonFormat.with()
    Feature[] parseFeatures() default {};

    // 序列化時(shí)是否依據(jù)field字母順序排序，等價(jià)于jackson的@JsonPropertyOrder.alphabetic()
    boolean alphabetic() default true;

    // 反序列化多態(tài)類型時(shí)，如果根據(jù)其他typeName等方式無(wú)法找到正確的子類時(shí)，默認(rèn)使用的子類，等價(jià)于jackson的@JsonTypeInfo.defaultImpl()
    Class<?> mappingTo() default Void.class;

    // 反序列化時(shí)指定java bean builder類(必須是@JSONPOJOBuilder注解的類)，等價(jià)于jackson的@JsonDeserialize.builder()
    Class<?> builder() default Void.class;

    // 聲明這個(gè)類型的別名，反序列化多態(tài)類型時(shí)使用，等價(jià)于jackson的@JsonTypeName
    String typeName() default "";

    // 反序列化某個(gè)接口或抽象類或父類的子類時(shí)指定根據(jù)哪個(gè)字段的值和子類的typeName相等來(lái)決定具體實(shí)現(xiàn)類，等價(jià)于jackson的@JsonTypeInfo.use() = Id.CUSTOM + @JsonTypeInfo.property()
    String typeKey() default "";

    // 反序列化某個(gè)接口或抽象類或父類的子類時(shí)指定可以反序列化的子類類型，等價(jià)于jackson的@JsonSubTypes
    Class<?>[] seeAlso() default{};

    // 指定序列化時(shí)使用的Serializer Class，等價(jià)于jackson的@JsonSerialize
    Class<?> serializer() default Void.class;

    // 指定反序列化時(shí)使用的Deserializer Class，等價(jià)于jackson的@JsonDeserialize
    Class<?> deserializer() default Void.class;

    // 序列化時(shí)，如果filed是枚舉類型，則和普通的java bean一樣輸出枚舉的filed，而不是通常使用的Enum.name()值，jackson沒(méi)有對(duì)應(yīng)特性
    boolean serializeEnumAsJavaBean() default false;

    // 指定json和Java bean之間的字段名稱映射策略，等價(jià)于jackson的@JsonNaming
    PropertyNamingStrategy naming() default PropertyNamingStrategy.CamelCase;

    // 指定序列化時(shí)使用的Serialize filter，等價(jià)于jackson的@JsonFilter
    Class<? extends SerializeFilter>[] serialzeFilters() default {};
}

JSONObject & JSONArray

首先來(lái)看看fastjon中JSONObject和JSONArray的源碼：

public class JSONObject extends JSON implements Map<String, Object>, Cloneable, Serializable, InvocationHandler {

    private final Map<String, Object> map;
    ...
}
public class JSONArray extends JSON implements List<Object>, Cloneable, RandomAccess, Serializable {

    private static final long  serialVersionUID = 1L;
    private final List<Object> list;
    protected transient Object relatedArray;
    protected transient Type   componentType;
    ...
}

從源碼就可以發(fā)現(xiàn)，JSONObject實(shí)際是一個(gè)Map<String, Object>，而JSONArray實(shí)際是一個(gè)List<JSONObject>。因此可以將JSONObject類型改為Map<String, Object>，而JSONArray類型改為List<Object>。但是這種方式就會(huì)導(dǎo)致上層API出現(xiàn)大量修改，因?yàn)槿鄙倭?code style="margin-right: 2px;margin-left: 2px;padding: 2px 4px;font-size: 14px;border-radius: 4px;color: rgb(30, 107, 184);background-color: rgba(27, 31, 35, 0.05);font-family: "Operator Mono", Consolas, Monaco, Menlo, monospace;word-break: break-all;">JSONObject和JSONArray提供的多種便利的類型轉(zhuǎn)換方法。如果想要暫時(shí)保留JSONObject和JSONArray，此時(shí)可以采取一種取巧的方法。

暫時(shí)保留JSONObject & JSONArray的過(guò)渡方法

jackson官方提供了對(duì)org.json庫(kù)的數(shù)據(jù)類型支持jackson-datatype-json-org，因此可以將com.alibaba.fastjson.JSONObject替換為org.json.JSONObject，com.alibaba.fastjson.JSONArray替換為org.json.JSONArray，這兩個(gè)類庫(kù)的對(duì)象API大致相同，當(dāng)然一些細(xì)小的改動(dòng)還是避免不了的。如果想完全不改上層代碼，那也可以參考jackson-datatype-json-org和jackson-datatype-json-lib自己實(shí)現(xiàn)jackson對(duì)fastjson的數(shù)據(jù)類型的binder。

larva-zhang/jackson-datatype-fastjson歡迎大家使用或提issues。

JSONPath

使用json-path/JsonPath就能輕松替換fastjson的JSONPath，而且功能比f(wàn)astjson更強(qiáng)大。只需參考JsonProvider SPI使用JacksonJsonProvider替代json-path/JsonPath默認(rèn)的JsonSmartJsonProvider即可。

自定義擴(kuò)展

自定義Deserializer

fastjson中實(shí)現(xiàn)自定義Deserializer的方法通常是實(shí)現(xiàn)ObjectDeserializer接口的deserialze方法

<T> T deserialze(DefaultJSONParser parser, Type type, Object fieldName);

在jackson中實(shí)現(xiàn)自定義Serializer的方法則通常是繼承StdDeserializer抽象類，重寫(xiě)deserialize方法

public abstract T deserialize(JsonParser p, DeserializationContext ctxt) throws IOException, JsonProcessingException;

自定義Serializer

fastjson中實(shí)現(xiàn)自定義Serializer的方法通常是實(shí)現(xiàn)ObjectSerializer接口的write方法

void write(JSONSerializer serializer, Object object, Object fieldName, Type fieldType, int features) throws IOException;

在jackson中實(shí)現(xiàn)自定義Serializer的方法則通常是繼承StdSerializer抽象類，重寫(xiě)serialize方法

public abstract void serialize(T value, JsonGenerator gen, SerializerProvider serializers) throws IOException;

自定義Serialize Filter

fastjson中提供了6種SerializeFilter，詳見(jiàn)fastjson/wiki/SerializeFilter。而在jackson中則是建議繼承SimpleBeanPropertyFilter。