該標籤下有 1 篇文章
反序列化的危險不在於收到錯誤的值，而在於某些格式讓外部資料決定要建立哪種型別的物件。所以損害不只是資料損壞，OWASP 列出了阻斷服務、存取控制繞過和遠端程式碼執行。防禦有兩種：改用純資料格式，讓任何東西都無法替你選擇型別；以及為序列化的訊息加上簽章，絕不還原沒有簽章的訊息。而且有些機制無論怎麼設定都無法變得安全，唯一的修正方法就是不使用它。