眾所周知，J***a 的 ????json 反序列化漏洞養(yǎng)活了國內(nèi)大半的安全從業(yè)人員。

作為一個(gè)前 J***a 現(xiàn) Go選手，Go 中容易寫出來的安全漏洞的代碼我也搞過幾十個(gè)案例，最近我又在網(wǎng)絡(luò)上發(fā)現(xiàn)了一個(gè) Go 中 json 反序列化的非預(yù)期行為可以繞過身份驗(yàn)證、規(guī)避授權(quán)控制的案例。

舉個(gè)例子。

***設(shè) 用戶 結(jié)構(gòu)體如下 type User struct { Username string `json:"username,omitempty"` Password string `json:"password,omitempty"` IsAdmin bool `…。