【超详细讲解】什么是序列化和反序列化？

关注

原创最新推荐文章于 2026-06-23 14:08:48 发布 1.4k 阅读 AI 写同款· GEO 优化 ›

反序列化(Unserialize)漏洞详解 序列化和反序列化漏洞分析 序列化(serialize) 就将对象的状态信息转换为可以存储或传输的形式的过程在序列化期间，对象将当前的状态写入到临时或持久性的存储区【将状态信息保存为字符串】。 反序列化(unserialize) 就是把序列化之后的字符串在转化为对象。其实在序列化的过程中是没有任何的漏洞的，产生漏洞的主要的原因就是在反序列化的过程中，通过我们的恶意篡改会产生魔法函数绕过，字符逃逸，远程命令执行等漏洞，最早发现这些漏洞的大佬是真的牛。一、简单的魔法函数魔法函数调用阅读详情

一、什么是序列化（Serialization）？

举个直观的例子

二、什么是反序列化（Deserialization）？

三、为什么需要序列化？

四、常见的序列化格式对比

五、序列化底层是怎么做的？

序列化过程：

反序列化过程：

六、序列化/反序列化常见坑

七、实际工程中应该怎么做？

八、总结

在实际项目开发中，“序列化（Serialization）”和“反序列化（Deserialization）”几乎无处不在。
但很多刚入门的同学，对它们的理解还停留在“转成字符串、传来传去”这么简单的层面。
其实，序列化的作用、原理、选择不同序列化协议的考量、安全风险、性能优化，每一个点都值得深入探讨！

一、什么是序列化（Serialization）？

序列化是将对象的状态转换为可存储或可传输格式的过程。

对象在内存中一般以特定的数据结构（指针、引用、哈希表、链表等）存在，直接传输内存数据是不可靠的（不同机器架构不同、数据对齐不同、指针无意义等问题）。

所以我们需要将对象转换成连续的字节流（或标准格式的文本），使得：

可以写入磁盘文件
可以通过网络发送到远端
可以被其他进程或设备正确解析

简单来说，序列化是让数据“离开内存，去旅行”的必备装备。

举个直观的例子

C++中的一个对象：

struct User {
    std::string name;
    int age;
};
User u{"Alice", 24};

序列化后，可能得到这样一段JSON字符串：

{"name": "Alice", "age": 24}

或者变成一段二进制流，比如：

[0x05][Alice][0x18]

二、什么是反序列化（Deserialization）？

反序列化就是序列化的逆过程。

把收到的字节流或文本格式数据，还原成内存中的对象或数据结构，供程序继续操作。

比如：

从磁盘读取一段JSON数据
解析网络收到的一段Protobuf消息
把Redis里缓存的对象取出来恢复成原始对象

这些都是反序列化的应用。

三、为什么需要序列化？

我们来列一下常见场景：

应用场景	为什么需要序列化
网络通信	TCP/UDP传输的数据必须是字节流，无法直接传对象
本地持久化	把程序状态保存到磁盘，下次能恢复
跨平台数据交换	不同系统、不同语言之间必须用标准格式
缓存系统	Redis、Memcached存的是序列化后的对象
消息队列	Kafka、RabbitMQ里的消息通常也是经过序列化的
RPC调用	gRPC、Thrift调用远端服务需要将请求和响应序列化

没有序列化，现代分布式系统、微服务体系几乎无法正常运作！

四、常见的序列化格式对比

不同场景适合不同的序列化格式，常见的几种包括：

格式	优点	缺点	典型应用
JSON	人类可读、跨平台、广泛支持	体积大、解析慢	前后端接口、配置文件
XML	结构复杂、可扩展性好	体积更大、解析更慢	SOAP服务、老系统
Protobuf	体积小、速度快、强类型定义	不易读、需要提前定义proto文件	gRPC、分布式系统内部通信
MessagePack	比JSON小、解析快	不如Protobuf精简	移动端、缓存系统
FlatBuffers	零拷贝、超高速访问	使用复杂、生成文件较大	游戏开发、大量实时数据场景
Avro	支持Schema进化（动态变化）	较重	大数据（Hadoop生态）