1. 从fastjson到fastjson2一次必要的技术栈升级最近在重构一个老项目发现里面还在用fastjson 1.2.x版本。说实话看到这个版本号我心里就咯噔一下脑子里瞬间闪过一堆CVE编号。这玩意儿就像家里还在用老旧的插线板虽然暂时能用但指不定哪天就“冒火星”了。团队里也有同事反馈新引入的第三方库依赖了更高版本的fastjson2导致项目里出现了两个不同大版本的JSON库序列化行为不一致调试起来非常头疼。所以把Spring Boot项目里的JSON序列化组件从fastjson升级到fastjson2已经从一个“可选项”变成了“必选项”。这不仅仅是换个依赖包那么简单它涉及到全局配置的调整、默认行为的改变以及如何平滑处理可能出现的兼容性问题。今天我就结合最近一次完整的升级实践把其中的关键步骤、配置细节以及踩过的坑系统地梳理一遍目标是让你看完就能在自己的项目里安全落地。2. 为什么必须升级理解fastjson2的核心优势与安全背景直接换掉一个用了多年的基础组件总得有个强有力的理由。对于fastjson来说这个理由非常充分主要集中在性能、安全性和API设计这三点上。2.1 安全漏洞的“达摩克利斯之剑”fastjson 1.x版本尤其是1.2.80及之前的版本因其复杂的自动类型推导机制autoType历史上曝出了多个高危的反序列化漏洞例如经典的1.2.47远程命令执行漏洞RCE。攻击者可以精心构造一个JSON字符串在目标系统反序列化时触发恶意代码执行。尽管后续版本如1.2.83、1.2.84进行了紧急修复通过引入safeMode等机制来缓解但修补过程更像是“打地鼠”社区对其底层设计的安全性质疑始终存在。这种持续的安全焦虑是推动升级最紧迫的动力。反观fastjson2它在项目初期就彻底重构了类型处理机制默认关闭了autoType并提供了更清晰、更严格的安全控制方式从设计上规避了老版本的核心问题。2.2 性能与内存的显著提升fastjson2并非简单的安全补丁版它是一次彻底的重构。根据官方基准测试和自己的实际压测对比fastjson2在序列化/反序列化速度上相比fastjson1有显著的提升尤其是在处理大型对象和集合时。更重要的是其内存占用优化。fastjson2内部采用了更多如String#value之类的优化减少了临时对象的创建对于长时间运行、高并发的微服务应用来说有助于降低GC压力提升整体稳定性。性能提升可能直观感受不强但内存优化带来的系统收益是实实在在的。2.3 更现代、更清晰的API设计如果你用过fastjson1的JSON.parseObject()可能会对其中各种重载方法感到困惑。fastjson2的API设计更加清晰和模块化。例如它明确区分了JSON通用API、JSONB二进制格式、JSONReader/JSONWriter流式处理等模块。对于Spring Boot集成来说最直观的感受是配置方式的变化。fastjson1通常通过配置FastJsonConfig的SerializerFeature和ParserFeature来定制行为而fastjson2则倾向于使用JSONFactory和JSONReader.Feature/JSONWriter.Feature进行更细粒度的、基于上下文Context的配置。这种设计减少了全局配置的副作用让行为更可预测。注意升级的直接诱因往往是安全但长期收益来自性能和可维护性。不要因为当前版本“没出事”就拖延升级技术债越晚还利息越高。3. 升级实战从依赖管理到配置迁移理论说完我们进入实操环节。一次完整的升级需要有条不紊地处理依赖、配置和代码适配。假设我们有一个使用Spring Boot 2.7.x的Web项目。3.1 第一步依赖管理Maven为例首先在项目的pom.xml中必须彻底移除或排除所有fastjson 1.x的依赖。不仅要排除直接依赖还要仔细检查传递依赖。!-- 1. 移除或注释掉原有的fastjson依赖 -- !-- dependency groupIdcom.alibaba/groupId artifactIdfastjson/artifactId version1.2.83/version /dependency -- !-- 2. 添加fastjson2依赖 -- dependency groupIdcom.alibaba.fastjson2/groupId artifactIdfastjson2/artifactId version2.0.64/version !-- 建议使用最新稳定版 -- /dependency !-- 3. Spring Boot Web项目通常需要此扩展用于Spring MVC集成 -- dependency groupIdcom.alibaba.fastjson2/groupId artifactIdfastjson2-extension-spring5/artifactId version2.0.64/version /dependency关键检查点执行mvn dependency:tree命令搜索“fastjson”确保输出中只有com.alibaba.fastjson2相关的依赖没有任何com.alibaba:fastjson的踪迹。常见的“藏匿点”包括一些老的阿里系中间件客户端如某些版本的Druid连接池、RocketMQ客户端。如果发现需要在对应的依赖中增加exclusions。3.2 第二步全局配置类替代FastJsonConfig在fastjson1时代我们通常会写一个Configuration类里面配置一个HttpMessageConverter。在fastjson2中模式类似但配置项发生了变化。import com.alibaba.fastjson2.JSONFactory; import com.alibaba.fastjson2.JSONReader; import com.alibaba.fastjson2.JSONWriter; import com.alibaba.fastjson2.support.config.FastJsonConfig; import com.alibaba.fastjson2.support.spring.http.converter.FastJsonHttpMessageConverter; import org.springframework.context.annotation.Bean; import org.springframework.context.annotation.Configuration; import org.springframework.http.MediaType; import org.springframework.http.converter.HttpMessageConverter; import org.springframework.web.servlet.config.annotation.WebMvcConfigurer; import java.nio.charset.StandardCharsets; import java.util.ArrayList; import java.util.List; Configuration public class FastJson2Config implements WebMvcConfigurer { Bean public FastJsonConfig fastJsonConfig() { // 创建fastjson2配置对象 FastJsonConfig config new FastJsonConfig(); // 设置JSON序列化特性对应旧版的SerializerFeature JSONWriter.Feature[] writerFeatures { JSONWriter.Feature.WriteMapNullValue, // 输出空值字段 JSONWriter.Feature.WriteNullListAsEmpty, // 空List输出为[] JSONWriter.Feature.WriteNullStringAsEmpty, // 空String输出为 JSONWriter.Feature.WriteDateUseDateFormat, // 日期格式化 JSONWriter.Feature.PrettyFormat // 美化输出生产环境建议关闭 }; config.setWriterFeatures(writerFeatures); // 设置JSON反序列化特性对应旧版的ParserFeature JSONReader.Feature[] readerFeatures { JSONReader.Feature.SupportAutoType, // 支持自动类型慎用需结合安全配置 JSONReader.Feature.IgnoreCheckDuplicate, // 忽略重复键检查 JSONReader.Feature.UseNativeObject, // 使用原生对象 JSONReader.Feature.SupportArrayToBean // 支持数组转Bean }; config.setReaderFeatures(readerFeatures); // 设置全局日期格式 config.setDateFormat(yyyy-MM-dd HH:mm:ss); // 设置字符集 config.setCharset(StandardCharsets.UTF_8); return config; } Bean public FastJsonHttpMessageConverter fastJsonHttpMessageConverter(FastJsonConfig config) { FastJsonHttpMessageConverter converter new FastJsonHttpMessageConverter(); converter.setFastJsonConfig(config); // 设置支持的MediaType ListMediaType supportedMediaTypes new ArrayList(); supportedMediaTypes.add(MediaType.APPLICATION_JSON); supportedMediaTypes.add(MediaType.APPLICATION_JSON_UTF8); // 注意Spring Boot 2.2已弃用但保留兼容 supportedMediaTypes.add(new MediaType(application, *json)); converter.setSupportedMediaTypes(supportedMediaTypes); return converter; } Override public void configureMessageConverters(ListHttpMessageConverter? converters) { // 将FastJsonHttpMessageConverter添加到转换器列表并置于首位 // 这样Spring MVC在处理HTTP请求时会优先使用Fastjson2进行序列化/反序列化 converters.add(0, fastJsonHttpMessageConverter(fastJsonConfig())); } }配置解读与避坑SupportAutoType特性这是安全的关键。在fastjson2中此特性默认关闭。如果你确实需要自动类型推导例如处理泛型接口、RPC框架返回的未知类型开启它时必须同时配置安全白名单否则风险极高。配置方式通常是通过JSONFactory.getDefaultObjectReaderProvider().addAutoTypeAccept(“[“com.yourpackage.”]”)来添加可信的包名前缀。字符集问题务必显式设置为UTF-8避免因系统默认编码不同导致的中文乱码问题。转换器顺序通过converters.add(0, ...)将Fastjson2的转换器放在最前面确保其优先级高于Spring Boot默认的Jackson。这样所有RestController返回的对象和接收的参数都会经由Fastjson2处理。3.3 第三步处理常见的兼容性问题升级后直接启动很可能会遇到一些报错或行为不一致的情况。以下是几个典型问题及解决方案。问题一字段名或属性值丢失json.praseobject属性丢失这通常是因为fastjson2的默认命名策略或Getter/Setter探测逻辑与fastjson1有细微差别。例如fastjson1可能默认使用ASM字节码技术而fastjson2可能在某些场景下使用了不同的策略。排查首先确认实体类的Getter/Setter方法是否符合Java Bean规范getXxx,setXxx。对于布尔类型boolean要特别注意Getter方法名是isXxx()还是getXxx()fastjson2对此更严格。解决使用JSONField注解显式指定序列化名称JSONField(name “field_name”)。在FastJsonConfig中配置全局的命名策略如果fastjson2扩展包支持。检查实体类是否有复杂的继承关系或泛型fastjson2对某些复杂场景的处理可能不同尝试简化或添加类型提示。问题二日期格式序列化不一致fastjson1的SerializerFeature.WriteDateUseDateFormat默认格式可能与fastjson2不同或者全局配置未生效。解决如上文配置所示在FastJsonConfig中务必设置config.setDateFormat(“你的格式”)。同时对于需要特殊格式的字段可以使用JSONField(format”yyyy/MM/dd”)进行覆盖。问题三第三方库或框架的兼容性例如你可能会遇到Knife4jSwagger增强文档界面请求异常或者集成Redis时序列化器不匹配。Knife4j文档异常Knife4j内部可能依赖了特定的JSON处理器。确保你使用的Knife4j版本与你的Spring Boot版本兼容。有时需要在Knife4j的配置中指定produces和consumes为MediaType.APPLICATION_JSON_VALUE。Spring Boot Redis序列化如果你使用RedisTemplate并且之前配置了GenericFastJsonRedisSerializer基于fastjson1现在需要替换为fastjson2对应的序列化器或者使用Spring Boot默认的Jackson/GenericJackson2JsonRedisSerializer。如果坚持用Fastjson2需要寻找或自定义一个FastJson2RedisSerializer。// 示例配置使用Jackson作为Redis默认序列化器避免fastjson版本冲突 Bean public RedisTemplateString, Object redisTemplate(RedisConnectionFactory connectionFactory) { RedisTemplateString, Object template new RedisTemplate(); template.setConnectionFactory(connectionFactory); // 使用Jackson2JsonRedisSerializer来序列化value Jackson2JsonRedisSerializerObject serializer new Jackson2JsonRedisSerializer(Object.class); ObjectMapper om new ObjectMapper(); om.setVisibility(PropertyAccessor.ALL, JsonAutoDetect.Visibility.ANY); om.activateDefaultTyping(om.getPolymorphicTypeValidator(), ObjectMapper.DefaultTyping.NON_FINAL); serializer.setObjectMapper(om); template.setValueSerializer(serializer); template.setHashValueSerializer(serializer); // 使用StringRedisSerializer来序列化key template.setKeySerializer(new StringRedisSerializer()); template.setHashKeySerializer(new StringRedisSerializer()); template.afterPropertiesSet(); return template; }4. 高级配置与性能调优基础配置能让项目跑起来但要跑得稳、跑得快还需要一些进阶设置。4.1 安全加固严格管控AutoType即使你不开启SupportAutoType作为防御性编程也建议显式设置安全模式或白名单。PostConstruct public void initSecurity() { // 获取全局的ObjectReaderProvider ObjectReaderProvider provider JSONFactory.getDefaultObjectReaderProvider(); // 方法1完全禁用AutoType最安全但可能影响某些需要类型推导的功能 // provider.setAutoTypeBeforeHandler(new ObjectReaderProvider.AutoTypeBeforeHandler()); // 方法2设置AutoType白名单推荐 provider.addAutoTypeAccept(com.yourcompany.); provider.addAutoTypeAccept(com.trusted.vendor.); // 注意白名单路径要尽可能具体避免使用过于宽泛的如 [ // 也可以设置黑名单但白名单是更安全的做法 // provider.addAutoTypeDeny(com.hacker.); }将这个初始化方法放在你的配置类中确保在Spring容器启动后执行。4.2 自定义序列化/反序列化器对于某些特殊类型如自定义的枚举、脱敏字段、复杂的第三方类你可能需要定制序列化逻辑。fastjson2提供了ObjectWriter和ObjectReader接口。// 示例为LocalDateTime自定义格式 Component public class LocalDateTimeWriter implements ObjectWriterLocalDateTime { private static final DateTimeFormatter FORMATTER DateTimeFormatter.ofPattern(yyyy|MM|dd HH:mm); Override public void write(JSONWriter jsonWriter, Object object, Object fieldName, Type fieldType, long features) { LocalDateTime dateTime (LocalDateTime) object; jsonWriter.writeString(dateTime.format(FORMATTER)); } } // 注册这个自定义Writer PostConstruct public void registerCustomWriter() { JSONFactory.getDefaultObjectWriterProvider().register(LocalDateTime.class, new LocalDateTimeWriter()); }4.3 性能相关配置关闭美化输出生产环境一定要关闭JSONWriter.Feature.PrettyFormat这能减少大量的空格和换行符显著降低网络传输体积。使用JSONB格式进行内部通信如果你的微服务之间内部调用频繁可以考虑使用fastjson2的JSONBBinary JSON格式。它是一种二进制格式序列化后的体积更小速度更快。但这要求通信双方都支持JSONB通常用于RPC框架或特定的存储场景。缓存配置fastjson2内部有对Class和Field的元数据缓存。在极端高性能要求下可以关注这些缓存的大小和策略但一般情况下默认配置已足够优化。5. 验证、测试与回滚预案升级完成后绝不能直接部署上线。必须经过严格的验证。单元测试覆盖运行所有涉及JSON序列化/反序列化的单元测试和集成测试。重点关注边界值null、空字符串、空集合、日期极值。复杂对象嵌套对象、循环引用fastjson2默认可能不支持循环引用需要配置、泛型集合。特殊字符包含转义字符、emoji、各种语言字符的字段。API接口测试使用Postman或Swagger对所有RESTful API进行完整测试对比升级前后的请求响应数据确保字段不丢、类型不错、格式一致。集成组件测试重点测试与Redis、MQ、数据库如果存了JSON字段等外部组件的交互确保序列化器兼容。性能基准测试可选但建议使用JMH或简单的压测工具对比升级前后关键接口的吞吐量和响应时间验证性能提升是否符合预期。准备回滚方案在版本控制系统如Git中确保本次升级变更在一个独立的、清晰的提交或分支中。准备好一键回滚到fastjson1的配置和依赖。在发布时可以考虑使用蓝绿部署或金丝雀发布先让小流量通过新版本观察日志和监控确认无误后再全量。整个升级过程核心思路是先保证功能对等再追求性能和安全收益。不要试图在升级的同时改变原有的JSON数据结构约定除非是修复bug。稳扎稳打每一步都做好验证这次必要的技术栈升级就能平稳落地。