在 java 中，對象填充是一個常見且重要的任務。它涉及將值從一個對象復制到另一個對象。有許多不同的 Java 對象填充框架可供選擇，每個框架都有自己的優缺點。

Beanutils.populate

Beanutils.populate 是 Apache Commons BeanUtils 中的一個類，用于對象填充。它是一種流行且易于使用的框架，它支持深層復制。深層復制意味著將嵌套對象的所有字段也復制到目標對象。

Beanutils.populate 有幾個優點：

• 易于使用
• 支持深層復制
• 廣泛使用

但是，Beanutils.populate 也有一個嚴重的隱患，即 beanutils.copyproperties 方法內部使用了BeanUtilsBean 的公開無參構造器去創建對象，這個公開無參構造器很危險，可以被攻擊者利用。

例如，以下代碼使用 Beanutils.populate 將值從一個對象復制到另一個對象：

public class Example {public static void main(String[] args) {// 創建源對象SourceObject source = new SourceObject();source.setName("John Doe");source.setAge(30);// 創建目標對象TargetObject target = new TargetObject();// 使用 Beanutils.populate 復制值try {BeanUtils.populate(target, source);} catch (IllegalAccessException | InvocationTargetException e) {e.printStackTrace();}// 打印目標對象System.out.println(target);}private static class SourceObject {private String name;private int age;public String getName() {return name;}public void setName(String name) {this.name = name;}public int getAge() {return age;}public void setAge(int age) {this.age = age;}}private static class TargetObject {private String name;private int age;public String getName() {return name;}public void setName(String name) {this.name = name;}public int getAge() {return age;}public void setAge(int age) {this.age = age;}@Overridepublic String toString() {return "TargetObject [name=" + name + ", age=" + age + "]";}}
}

這段代碼沒有任何問題，它會正確地將值從 source 對象復制到target 對象。但是，如果攻擊者能夠控制 source 對象，他們就可以利用 beanutils.copyproperties 方法內部使用的BeanUtilsBean 的公開無參構造器去創建未經授權的對象，從而導致嚴重的安全漏洞。

其他 Java 對象填充框架

除了 Beanutils.populate 之外，還有許多其他的 Java 對象填充框架可供選擇。這些框架包括：

• Dozer
• Orika
• MapStruct

這些框架都各有優缺點，如下表所示：

框架	易于使用	功能

---

---

相關標簽： Java、 與其他、 beanutils.copyproperties隱患、 Beanutils.populate、 對象填充框架的比較、

上一篇：Beanutilspopulate在Netflix和Uber等公司中

下一篇：BeanutilspopulateJava開發人員的必備庫bea