Insecure Deserialization
不安全反序列化将不可信数据反序列化为对象时执行任意代码或注入对象，是 OWASP Top 10 漏洞。
用途
理解语言原生反序列化的代码执行风险与防御，是 Java/Python/C# 常见 RCE 漏洞。
机制
Java ObjectInputStream.readObject、Python pickle.loads 等在反序列化时调用对象自定义方法，攻击者构造恶意序列化数据触发任意代码。防御：白名单类型、JSON、签名验证。
用例
- Java RCE 漏洞
- Python pickle 安全
- 反序列化防御