将其用作安全框架

您需要在XStream中配置安全框架。
它是为了防止对反序列化入口点的攻击而设计的。如果您可以声明没有不友好的第三方会使用它，那么使用到目前为止提供的解决方案是安全的。
我倾向于谨慎的一方。所以我只允许基本的，那些是我的，还有一些我用的。

最基本的

如其他答案中所述，首先使用默认值

XStream xstream = new XStream();
xstream .addPermission(NoTypePermission.NONE); //forbid everything
xstream .addPermission(NullPermission.NULL);   // allow "null"
xstream .addPermission(PrimitiveTypePermission.PRIMITIVES); // allow primitive types

∮那些属于我的∮
这些我允许包：

xstream.allowTypesByWildcard(new String[] { 
        "com.mydomain.mynewapp.**",
        "com.mydomain.utilitylibraries.**
        });

一些我用

对于我使用的特定类，可以允许它们以“按类”的方式为解析器提供信息。

xstream.allowTypes(new Class[] {
        com.google.common.base.Present.class,
        org.apache.commons.math3.random.GaussianRandomGenerator.class
        });

为了消除问题中的异常，OP可以选择添加如下内容：

xstream.allowTypes(new Class[] {com.test.cp.test123.pojo.TestList.class});

结论

XStream允许你尽可能严格地调整类反序列化的安全性。最低限度的安全性可能就足够了。但是不问自己一个问题是不够的：“我需要多严密的安全措施？”一旦你考虑了这个问题，就采取相应的行动。

http://x-stream.github.io/security.html
尝试限制为所需的最低权限。
这将消除所有限制（阅读上面的链接）：xstream.addPermission(AnyTypePermission.ANY);

我用以下方法解决了这个问题：

Class<?>[] classes = new Class[] { TestList.class, Item.class, ... };
XStream xstream = new XStream();
XStream.setupDefaultSecurity(xstream);
xstream.allowTypes(classes);

按照@Kokeb的回答，我得到了一个包含以下代码行的Spring Bean：

XStreamMarshaller marshaller = new XStreamMarshaller();
  Map<String, Class<MyMessage>> aliases = new HashMap<>();
  aliases.put("myMessages", MyMessage.class);
  marshaller.setAliases(aliases);

我补充道：

marshaller.getXStream().allowTypes(new Class[]{MyMessage.class});

它解决了这个问题。
一点背景，我在一个项目中使用了XStream，其中包含Spring批处理、Spring集成和ActiveMQ，我设置了一个bean，将ActiveMQ消息转换为消息类。完整的bean：

@Bean
    public MessageConverter messageConverter() {
        XStreamMarshaller marshaller = new XStreamMarshaller();
        Map<String, Class< MyMessage >> aliases = new HashMap<>();
        aliases.put("myMessages", MyMessage.class);
        marshaller.setAliases(aliases);
        marshaller.getXStream().allowTypes(new Class[]{MyMessage.class});

        MarshallingMessageConverter messageConverter = new MarshallingMessageConverter(marshaller);
        messageConverter.setTargetType(MessageType.TEXT);
        return messageConverter;
    }

我有一个XStreamMarshaller的派生类，其中“XStreamMarshaller.supports”方法被重写。我添加了***getXStream（）.allowTypes（classes）***，请参见下面的代码片段。

@Override
public boolean supports(Class<?> clazz) {
    Class<?>[] classes = new Class[] {clazz};
    getXStream().processAnnotations(classes);
    getXStream().allowTypes(classes);
    return super. Supports(clazz);
}

我也遇到过这个问题，我通过添加AnyTypePermission解决了这个问题。

xstream.addPermission(AnyTypePermission.ANY);