hessian

Hello,

Our static analyzer found a following potential NPE. We have checked the feasibility of this execution trace. It is necessary to defend this vulnerability to improve the code quality.

Here is the bug trace.

1. Return null to caller
   https://github.com/sofastack/sofa-rpc/blob/4f824e2b2897ce5b6cbc8944219e0c96b56ebd02/core/api/src/main/java/com/alipay/sofa/rpc/ext/ExtensionLoader.

背景

在 service mesh环境下，需要在 sidecar 中解析dubbo的attachment，并根据需求添加一些自定义的参数进去，就像SetHeader一样，然后重新构建 dubbo 包

问题

如果使用hessian.NewDecoder，传递的参数没有对象是可以的，如果参数中有对象会报错，参考 #163 的解决办法，使用 hessian.NewDecoderWithSkip可以解决，但是重新构建的时候arg类型是interface{},值是nil

解决

能否多提供一个Decode方法，直接返回[]byte内容，重新构建的时候直接encode.Append(arg)就可以重新构建dubbo包

Hessian 是一种二进制序列化协议。

由于 Hessian 自身实现关系，通过构造特定的序列化流，经过反序列化后可能会造成任意代码执行，存在安全风险，建议用户配置黑名单或白名单的方式来解决该问题。

本项目内置的黑名单来自内部实践和外部贡献，仅供参考，不做主动更新。如需要更严格的校验，请使用白名单功能。

Hessian is a binary serialization protocol.

Because of the implement of Hessian, by constructing a specific serialization stream, it may cause arbitrary code execution when doing deserialization. It is recommended that users configure