fastjson是阿里巴巴的开源一个JSON解析库，通常被用于将Java Bean和JSON 字符串之间进行转换。可是fastjson被爆出过多次存在漏洞，而这些与AutoType特性有关，那fastjson是否关闭@type?下面来我们就来给大家讲解一下。
fastjson不关闭@type。
如何打开autotype?
一、添加autotype白名单
添加白名单有三种方式，三选一，如下:
1. 在代码中配置
ParserConfig.getGlobalInstance().addAccept("com.taobao.pac.client.sdk.dataobject.");如果有多个包名前缀，分多次addAccept
2. 加上JVM启动参数
-Dfastjson.parser.autoTypeAccept=com.taobao.pac.client.sdk.dataobject.,com.cainiao.
如果有多个包名前缀，用逗号隔开
3. 通过fastjson.properties文件配置。
在1.2.25/1.2.26版本支持通过类路径的fastjson.properties文件来配置，配置方式如下：
fastjson.parser.autoTypeAccept=com.taobao.pac.client.sdk.dataobject.,com.cainiao. // 如果有多个包名前缀，用逗号隔开
二、打开autotype功能
如果通过配置白名单解决不了问题，可以选择继续打开autotype功能，fastjson在新版本中内置了多重防护，但是还是可能会存在一定风险。两种方法打开autotype，二选一，如下：
1、JVM启动参数
-Dfastjson.parser.autoTypeSupport=true
2、代码中设置
ParserConfig.getGlobalInstance().setAutoTypeSupport(true);
如果有使用非全局ParserConfig则用另外调用setAutoTypeSupport(true);
三、配置autoType黑名单
打开AutoType之后，是基于内置黑名单来实现安全的，但黑名单是穷举不完的，如果发现了新的风险类，可以通过以下配置来增加黑名单：
1. 配置JVM启动参数
-Dfastjson.parser.deny=xx.xxx
这里的xx.xxx是包名前缀，如果有多个包名前缀，用逗号隔开；
2. 通过fastjson.properties来配置
在1.2.25之后的版本支持通过类路径的fastjson.properties文件来配置，配置方式如下：
-Dfastjson.parser.deny=xx.xxx
这里的xx.xxx是包名前缀，如果有多个包名前缀，用逗号隔开；
3. 代码中配置
ParserConfig.getGlobalInstance().addDeny("xx.xxx");这里的xx.xxx是包名前缀，如果有多个包名前缀，用逗号隔开；
fastjson打开autotype的方法就是以上这些步骤，当我们需要的时候，就可以打开autotype!最后大家如果想要了解更多json相关知识，敬请关注奇Q工具网。
推荐阅读：