Deserialisering

Deserialisering er processen med at rekonstruere objekter og data-strukturer fra en sekvens af bytes eller tekst, der er produceret ved serialisering. Formålet er at genskabe tilstand og data i et program eller mellem systemer, typisk til kommunikation eller vedvarende lagring.

Typiske formater omfatter JSON, XML, YAML samt mere kompakte binære formater som Protocol Buffers, MessagePack og Apache Avro. Hvordan deserialisering foregår, varierer afhængigt af sprog og rammeværk: en læseproces parser indholdet og mapper felter til felter i en klasse eller datastruktur, ofte via konstruktører, fabrikmetoder eller reflection. Uanset format kræves normalt, at dataene er mappe- og typekonsistente med de objekter, der rekonstrueres, og at der tages højde for versionering og kompatibilitet.

Anvendelser omfatter udveksling af data mellem applikationer, opbevaring af objekter i databaser eller caches samt fjern procedurekald (RPC). Deserialisering gør det muligt at overføre komplekse datastrukturer og tilstand på tværs af processer og maskiner.

Deserialisering kan udgøre en sikkerhedsrisiko, især når input ikke er tillidsfuldt. Uautoriseret deserialisering kan føre til uønsket kodeudførelelse, dataeksponering eller andre angreb. Anbefalinger inkluderer at validere input, anvende hvide lister over tilladte klasser, vælge sikre biblioteker og formater, undgå deserialisering af ukendte objekter og bruge eksplicitte skemaer og versionsstyring for at bevare kompatibilitet.

Versionering og skemakrav er vigtige for robuste systemer: ændringer i klasser eller dataformat kan bryde kompatibilitet, så man benytter tydelige versioner, schemas og bagud- eller fremadkompatible ændringer.

---