對反序列化的利用是有點困難，因為在不更改或調整底層可被利用**的情況下，現成的反序列化漏洞很難被使用。
這一問題包括在top10的行業調查中，而不是基於可量化的資料。
有些工具可以被用於發現反序列化缺陷，但經常需要人工幫助來驗證發現的問題。希望有關反序列化缺陷的普遍性資料將隨著工具的開發而被更多的識別和解決。
反序列化缺陷的影響不能被低估。他們可能導致遠端**執行攻擊，這是可能發生的最嚴重的的攻擊之一
業務影響取決於應用程式和資料的保護需求
在應用程式中，序列化可能被用於：遠端和程序間通訊（rpc/ipc）、連線協議web服務訊息**、快取/永續性、資料庫快取伺服器檔案系統、http cookie html表單引數、api身份驗證令牌
唯一安全的架構模式是不接受來自不受信源的序列化物件，或使用只允許原始資料型別的序列化**如果上述不可能的話考慮使用以下方法
執行完整性檢查，在建立物件之前強制執行嚴格的型別約束，如果可能隔離執行那些在低特權環境中反序列化的**，限制或監視來自於容器或伺服器傳入和傳出的反序列化網路連線，監控反序列化，當使用者持續進行反序列化時，對使用者進行警告。
序列化，多執行緒 執行緒搶占（執行緒不安全）問題
方案一 new object 需要實現序列化 map x 結果同乙個executor不同執行緒呼叫的object為同乙個 但是 多個executor 之間不是同乙個，object先在driver建立 然後序列化，然後在executor裡反序列化 方案二new class 需要實現序列化 map x ...
C 的序列化和反序列化
序列化就是把乙個物件儲存到乙個檔案或資料庫欄位中去，而反序列化則是把這個檔案再轉化成原來的物件來使用，他的特點就是儲存為二進位制物件 bin檔案 優點就是容易儲存和取出。我們也可以理解為序列化就是儲存，反序列化就是取出。二進位制的關鍵字 binaryformatter 序列化關鍵字 serializ...
C 的序列化與反序列化
最近看了一下同事寫的 其中包含這麼乙個功能，叫序列化與反序列化。說一下概念，序列化 將資料結構或物件轉換成二進位制串的過程 反序列化 將在序列化過程中所生成的二進位制串轉換成資料結構或者物件的過程 很多情況下，我們需要將資料進行持久化操作，即將資料寫入到檔案中，我們可以通過io操作，或者序列化操作。...