为什么反序列化的漏洞时不时就爆出来一个？

因为漏洞补得不彻底，每次修复后都被发现新漏洞

为了 kpi

害，我面试国内某安全厂商的时候，对方问我知道 java 的序列化与反序列化吗？我一脸懵逼

因为本质上是字符串转对象,参考前端 xss 和 sql 注入只能预防没法杜绝

参考 Flash，对输入高度自由的程序本身就是个天坑

@wysnylc #4 当然能杜绝，限制可序列化的类型就行了。

因为反序列化的本质，是把字符串转换为可执行的结构，这种过程天然容易引发安全问题。

赞同楼上的观点，反序列化的本质就是容易引发安全问题，所以最好的方法就是不用反序列化。但是有需求，稍不注意，就有漏洞了

反序列化漏洞，fastjson 独占半壁江山

https://zhuanlan.zhihu.com/p/157211675 有一篇分析

反序列化，如果只是生成结构体，倒也还好。
但是如果要生成对象，就很可能出现问题，因为涉及到对象代码执行。