攻击者仅需向任意 fastjson 反序列化端点发送一个含恶意 @type 的 JSON 请求，即可触发目标主动拉取远程恶意 jar、加载并执行其中的类静态初始化代码，最终实现未授权远程代码执行。

优先迁移至 fastjson2（2.x），或在不信任输入路径上移除 fastjson 1.x；fastjson2 不受本漏洞影响。 全局开启 safeMode：JVM 启动参数增加 -Dfastjson.parser.safeMode=true，使 checkAutoType 短路、不再进入 @type 注解探测路径，从而阻断本漏洞（需重启应用） 出口流量白名单：禁止应用容器/进程主动外连，阻断对远程恶意 jar 的拉取 —— 即便漏洞被触发也无法完成类加载。