之前写过一个合并字符串的CLR聚合函数，基本是照抄MS的示例，外加了一些处理，已经投入使用很长时间，没什么问题也就没怎么研究，近日想改造一下，遇到一些问题，遂捣鼓一番，有些心得，记录如下。
单例模式应该算是 23 种设计模式中，最常见最容易考察的知识点了。经常会有面试官让手写单例模式，别到时候傻乎乎的说我不会。
最近几天一直在审计Java漏洞，周六周天也没休息，所以上周文章就没写，今天抽空写一篇文章补上。在最近几年的攻防比赛、红队评估项目、渗透测试中，fastjson反序列化漏洞是一个非常常见的漏洞，和shiro反序列化漏洞一样，几乎每次比赛都能遇到，很多白帽子、攻击队队员都用这个漏洞拿到过权限。
自2017年3月15日 fastjson 1.2.24版本被爆出反序列化漏洞以来，其就成为了安全人员中的重 点研究对象，即使后来 fastjson 为了安全设置了checkAutoType 防御机制，也依旧没能完全杜 绝新的漏洞产生，结合今日BlackHat 大会上玄武实验室的《How i use json deserialization》 议题，来看看这个漏洞。
jdk8u20原生反序列化漏洞是一个非常经典的漏洞，也是我分析过最复杂的漏洞之一。
翻译自：https://github.com/restsharp/RestSharp/wiki，转载请注明。
如果我们要在不同的编程语言之间传递对象，就必须把对象序列化为标准格式，比如XML，但更好的方法是序列化为JSON，因为JSON表示出来就是一个字符串，可以被所有语言读取，也可以方便地存储到磁盘或者通过网络传输。JSON不仅是标准格式，并且比XML更快，而且可以直接在Web页面中读取，非常方便。
在C#领域，有很多成熟的开源JSON框架，其中最著名且使用最多的是 Newtonsoft.Json ,然而因为版本迭代,其代码要兼容从net2.0到现在的最新的net框架,并且要支持.net平台下的其它语言,所以最新发布版本的Newtonsoft.Json其dll大小接近700k,另一方面,因为其复杂的迭代历史导致它的代码为了维护向下扩展性和向上兼容性而舍弃一些性能。
查看@JSONField注解的源码可以了解到它的作用范围是在方法（METHOD）、属性（FIELD）、方法中的参数（PARAMETER）上。
手动构造类映射时您可以简单地通过不将字段或属性添加到类映射。当使用自动映射你需要指定应忽略该字段或属性的方法。可以使用属性编写如下编写：
不知道大家在使用redis的时候，有没有遇到过如下错误：java.lang.ClassNotFoundException，这个错误是因为反序列化时找不到对应的对象导致的。
在分析HashMap和ArrayList的源码时，我们会发现里面存储数据的数组都是用transient关键字修饰的，如下： HashMap里面的： ArrayList里面的： 既然用transient
2016 年 Java 应用程序及开发者受到反序列化漏洞的破坏性影响，而如今 .NET 生态系统也正在遭受同样的危机。新的问题存在于 .NET 代码库中处理反序列化的操作中，攻击者同样可以通过这个漏洞在服务器或相关计算机设备上进行代码注入。 我们知道，序列化指的是将对象转化为字节序列以便保存在内存、文件、或数据库中。而这个序列化过程主要是为了将对象的状态保存下来，在之后有需要之时可以重新创建对象。而与之相反的过程则被称为反序列化。而在这个过程中，如果没有对数据进行安全性检验，直接对不可信数据进行反序列化处理
最近在看 HashMap 源代码的时候，发现链表 table 数组采用了transient 关键字，笔者当时感觉对 transient 关键字即陌生但又有似曾相识，所以花了一些时间简要的总结了下使用transient 关键字的一些基本常识，希望对你们也有些帮助，让我们一起进步，一起牛逼吧。
这本书的目的是帮助编写清晰正确，可用的，健壮性灵活性高和可维护的代码，而非针对高性能。主要从对象，类，接口，泛型，枚举，流，并发和序列化等方面介绍。
本次课程的主要内容包括以下四格部分：DataContractSerializer、序列化、反序列化、XmlSerializer
https://github.com/sososeen09/MultiTypeJsonParser
https://vampireachao.gitee.io/2021/04/09/JsonAutoDetect/
地址：Vulhub - Docker-Compose file for vulnerability environment
我们知道，如果一个对象需要序列化，那么需要实现Serilizable接口，那么这个类的所有非静态属性，都会被序列化。
本公众号提供的工具、教程、学习路线、精品文章均为原创或互联网收集，旨在提高网络安全技术水平为目的，只做技术研究，谨遵守国家相关法律法规，请勿用于违法用途，如果您对文章内容有疑问，可以尝试加入交流群讨论或留言私信，如有侵权请联系小编处理。
--默认情况下，Windows Communication Foundation(WCF)使用称为数据协定序列化程序的序列化引擎对数据进行序列化和反序列化（与XML进行相互转换）
destruct()、wakeup()、__tostring()–当一个对象被反序列化后又被当作字符串使用时会触发 __toString方法。
.NET 代码分析提供旨在提高代码质量的规则。 这些规则分为设计、全球化、性能和安全性等领域。 某些规则特定于 .NET API 用法，而其他规则与通用代码质量相关。
序列化和反序列化是计算机编程中重要的概念，用于在对象和数据之间实现转换。在程序中，对象通常存储在内存中，但需要在不同的时刻或不同的地方进行持久化存储或传输。这时，就需要将对象转换为一种能够被存储或传输的格式，这个过程就是序列化。 序列化是将对象的状态转换为可以存储或传输的格式，如二进制、XML或JSON。这样，对象的数据可以被保存在文件、数据库中，或通过网络传输到其他计算机。 反序列化则是将序列化后的数据重新转换为对象的过程，以便在程序中使用。它使得在不同的时间、地点或应用中能够复原之前序列化的对象。 这两个概念在以下情况中至关重要：
本系列文章将整理到我在GitHub上的《Java面试指南》仓库，更多精彩内容请到我的仓库里查看
序列化是将变量转换为可保存或传输的字符串的过程；反序列化就是在适当的时候把这个字符串再转化成原来的变量使用。这两个过程结合起来，可以轻松地存储和传输数据，使程序更具维护性。
我们都知道，Java 是一种高层级的语言。在 Java 中，你不需要直接操控内存，大部分的服务和组件都已经有了成熟的封装。除此之外，Java 是一种先编译再执行的语言，无法像 JavaScript 那样随时插入一段代码。因此，很多人会认为，Java 是一个安全的语言。如果使用 Java 开发服务，我们只需要考虑逻辑层的安全问题即可。但是，Java 真的这么安全吗？
WCF客户端和服务端的框架体系相互协作，使得开发人员可以按照我们熟悉的方式进行异常的处理：在服务操作执行过程中抛出异常（FaultException），在调用服务时捕获异常，完全感觉不到“分布式”的存在，如同典型的“本地”操作一般。为了实现这样的效果，WCF在内部为我们作了很多。 消息交换是WCF进行通信的唯一手段，消息不仅仅是正常服务调用请求和回复的载体，服务端抛出的异常，甚至是服务的元数据都是通过消息的形式传向客户端的。所以，实现异常与消息之间的转换是整个异常处理体系的核心，而WCF的异常处理框架就着
曾经发过一篇如何在Silveright中利用XmlSerializer序列化对象的文章“Silverlight中的序列化”，限于当时的认识有限，一度以为silverlight只有这一种办法，今天意外发现，其实还有更好的方式，特此做一个汇总与比较 1.json序列化方式 silverlight支持json字符串已是众人皆知的事情，没啥好说的，有点容易让人误导的是：我们在vs的silverlight项目中添加引用时，一眼就能看到System.Runtime.Serialization.Json这个命名空间，于是
为了方便数据存储,php通常会将数组等数据转换为序列化形式存储，那么什么是序列化呢？序列化其实就是将数据转化成一种可逆的数据结构，自然，逆向的过程就叫做反序列化。
RPC：Remote Procedure Call Protocol，远程过程调用协议，像调用本地函数一样，去调用一个远端服务。
在切点中，某个方法的入参是一个Object[] 的数组。考虑到入参在方法的执行前后是会有变化的，因此需要深拷贝数组以隔绝这种可能的变化。
最近遇到一个错误，就是某个字段肯定是Long类型的，通过Map方式转成JSON字符串，然后存到了DB的某个字段里。
安全规则可实现更安全的库和应用程序。 这些规则有助于防止程序中出现安全漏洞。 如果禁用其中任何规则，你应该在代码中清除标记原因，并通知开发项目的指定安全负责人。
大家好，我是 why，欢迎来到我连续周更优质原创文章的第 63 篇。老规矩，先荒腔走板聊聊其他的。
在写程序尤其是写网站的时候，经常会构造类，并且有时候会将实例化的类作为变量进行传输。
对象的序列化就是将Object转换成byte序列，反之叫做对象的反序列化 1.序列化流： ObjectOutputStream，是过滤流----->writeObject 反序列化流： ObjectInputStream ------->readObject 2.序列化接口： Serializable 对象必须实现序列化接口，才能进行序列化，否则将会出现异常 这个接口没有任何方法，只是一个标准 3.一个类实现了序列化接口，子类也就都能进行序列化了 java.io 接口 Serializable publ
JSON 的运用非常广泛，比如我们经常将变成语言中的结构体序列化成 JSON 字符串，存入缓存或者通过网络发送给远端服务，消费者接受 JSON 字符串然后进行反序列化，就可以得到原始数据了。这就是「序列化」和「反序列化」的目的，以某种固定格式组织字符串，使得数据可以独立于编程语言。
第一章聊了【“为什么要进行服务化，服务化究竟解决什么问题”】 第二章聊了【“微服务的服务粒度选型”】 今天开始聊一些微服务的实践，第一块，RPC框架的原理及实践，为什么说要搞定微服务架构，先搞定RPC
今天开始聊一些微服务的实践，第一块，RPC框架的原理及实践，为什么说要搞定微服务架构，先搞定RPC框架呢？
我们封装了对DB查询的缓存,对于一个查询请求来说, 首先从redis里读取,如果命中缓存,则直接返回结果. 如果未命中缓存,从db中查询数据,返回结果,同时异步将查询到的数据添加到redis中.
Shiro 是 Apache 旗下的一个用于权限管理的开源框架，提供开箱即用的身份验证、授权、密码套件和会话管理等功能。该框架在 2016 年报出了一个著名的漏洞——Shiro-550，即 RememberMe 反序列化漏洞。4年过去了，该漏洞不但没有沉没在漏洞的洪流中，反而凭借其天然过 WAF 的特性从去年开始逐渐升温，恐将在今年的 HW 演练中成为后起之秀。面对这样一个炙手可热的漏洞，这篇文章我们就来讲下，我是如何从 0 到 1 的将该漏洞的自动化检测做到极致的。
通过前面两篇我们探索了如何在creator中使用protobuf，并且让其能正常工作在浏览器、JSB上，最后聊到protobuf在js项目中使用上的一些痛点。这篇博文我要把这些痛点一条一条地扳开，分析为什么它让我痛，以及我的治疗方案。
Java序列化是指将Java对象转换为字节序列的过程。这个过程涉及将对象的状态信息，包括其数据成员和某些关于类的信息（但不是类的方法），转换为字节流，以便之后可以将其完全恢复为原来的对象。换句话说，序列化提供了一种持久化对象的方式，使得对象的状态可以被保存到文件或数据库中，或者在网络上进行传输。
序列化和反序列化是指用于将对象或数据结构转换为字节流的过程，以便在不同系统之间进行传输或存储，并在需要时重新构造。
序列化(seriallization)： 将对象转化为便于传输的数据格式， 常见的序列化格式：二进制格式，字节数组，json字符串，xml字符串。 反序列化(deseriallization)：将序列化的数据恢复为对象的过程。
这么说太抽象了，举一个例子：你如果想让一个女孩子知道你喜欢她，你可以给她写情书，这样 「喜欢」 这种状态信息就变成了 「文字」 这种可以存储或传输的信息。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储
