Thema: serialization
-
Verstrichene Zeit in Go: Serialisierung verliert die monotone Uhrkomponente
Hält lokale Dauermessung getrennt von persistierten Zeitstempeln und prozessübergreifenden Fristenstrategien.
-
Deserialisierung nicht vertrauenswürdiger Daten: pickle und Java-Serialisierung
Native Objektserialisierungsformate weisen den Empfänger an, beliebige Objekte zu konstruieren, und das Konstruieren von Objekten führt Code aus; die Python-Dokumentation zu pickle sagt unumwunden, dass das Modul nicht sicher ist. Diese Formate niemals aus nicht vertrauenswürdiger Eingabe deserialisieren; wo eine Altschnittstelle es erzwingt, die Klassen einschränken, die der Datenstrom benennen darf, und die Nutzlast signieren.
-
Deterministische Serialisierung von Protocol Buffers ist keine kanonische Nachrichtenidentität
Vermeiden, beliebige Protobuf-Bytes als stabilen semantischen Fingerabdruck über Laufzeitumgebungen und Versionen hinweg zu verwenden.
Maschinenlesbar: JSON