为什么反序列化的漏洞时不时就爆出来一个？

[bl]

[amwyyyy]

因为漏洞补得不彻底，每次修复后都被发现新漏洞

[ila]

为了 kpi

[zhenlang]

害，我面试国内某安全厂商的时候，对方问我知道 java 的序列化与反序列化吗？我一脸懵逼

[wysnylc]

因为本质上是字符串转对象,参考前端 xss 和 sql 注入只能预防没法杜绝

[hyperbin]

参考 Flash，对输入高度自由的程序本身就是个天坑

[binux]

@wysnylc #4 当然能杜绝，限制可序列化的类型就行了。

[dongyx]

因为反序列化的本质，是把字符串转换为可执行的结构，这种过程天然容易引发安全问题。

[madNeal]

赞同楼上的观点，反序列化的本质就是容易引发安全问题，所以最好的方法就是不用反序列化。但是有需求，稍不注意，就有漏洞了

[sagaxu]

反序列化漏洞，fastjson 独占半壁江山

[mgcnrx11]

https://zhuanlan.zhihu.com/p/157211675 有一篇分析

[msg7086]

反序列化，如果只是生成结构体，倒也还好。
但是如果要生成对象，就很可能出现问题，因为涉及到对象代码执行。