该标签下有 1 篇文章
反序列化的危险不在于收到了错误的值，而在于某些格式让外部数据决定要构造哪种类型的对象。所以损害不止于数据损坏——OWASP 列出了拒绝服务、绕过访问控制和远程代码执行。两种防御：改用纯数据格式，让任何东西都无法替你选择类型；对序列化的消息签名，绝不还原未签名的消息。而且有些机制无论怎样配置都无法变得安全；唯一的办法就是不用。