序列化和反序列化漏洞的簡單理解

Java反序列化漏洞簡介 便於保存在內存、文件、數據庫中；反序列化即逆過程，由字節流還原成對象。Java中的ObjectOutputStream類的writeObject()方法可以實現序列化，類ObjectInputStream類的readObject()方法用於反序列化。下面是將字符串對象先進行序列化，存儲到本地文件，然後再通過反序列化進行恢復 問題在於，如果Java應用對用戶輸入，即不可信數

>>阅读原文<<