Deserialisointi

Deserialisointi on prosessi, jossa tallennetusta tai siirrettävästä tiedosta palautetaan ohjelmallisesti käyttökelpoinen data- tai oliomalli. Serialisointi muuntaa olion tai rakenteen merkkijonoksi tai binääriseksi muodoksi, ja deserialisointi tekee tämän takaisin.

Yleisimmät deserialisoinnin muodot ovat tekstiin perustuvat kuten JSON, XML ja YAML sekä binääriset muodot kuten Protocol Buffers (protobuf), MessagePack ja Thrift. Prosessi koostuu tiedon jäsentämisestä, oikean rakenteen tunnistamisesta, tyyppien konvertoinnista sekä mahdollisesta validaatiosta ennen malliin sovittamista.

Turvallisuus: deserialisointi voi olla haavoittuva kohta, erityisesti kun data tulee epäluotettavasta lähteestä. Insecure deserialization voi johtaa koodin suoritukseen, etäkäyttöön tai tietovuotoon. Hyökkäyksiä torjutaan käyttämällä allekirjoitettuja tai salattuja viestejä, rajoittamalla deserialisoitavia luokkia, määrittämällä sallitut tyypit sekä lisäämällä skeeman ja innon valvontaa sekä aikakatkaisua.

Hyvät käytännöt: deserialisoi vain luotettavasta lähteestä, käytä tiukkoja skeemoja ja versionointia, validoi data ennen malliin sovittamista, salli vain tunnetut kentät ja tyypit sekä vältä automaattista kääntämistä, jossa lukeminen suorittaa vahingollisia operaatioita.

Käyttökohteet ovat tiedon tallennus, tiedonvaihto verkkopalvelujen tai APIen välillä sekä sovellusten tilan palauttaminen. Esimerkkejä ohjelmointikielistä ovat Java, Python, C#, JavaScript sekä niiden kirjasto- ja kehitysympäristöt, jotka tarjoavat deserialisointi- ja serialisointityökaluja.