用途：审计不受信任数据被还原为可执行对象或复杂数据结构的位置，判断攻击者能否借此执行代码、读取文件或改变应用逻辑。
主要能力：按风险分级覆盖原生对象序列化（pickle、Java、.NET、PHP、Ruby）、XML 外部实体（XXE）、YAML 加载以及服务端 JavaScript 原型污染；提供各语言危险汇点对照表、检索签名、污点来源与传播规则、真实性净化判断、无害复现载荷及修复配置。
使用方式：先用签名枚举反序列化汇点，追溯输入来源，确认解析前是否有对原始字节的 HMAC/签名或 AEAD 校验；XML 检查是否禁用外部实体；YAML 检查是否缺少 SafeLoader；Node.js 检查来自 JSON 的深合并调用；检查会话缓存、后台任务与导入导出功能使用的序列化器。
适用场景：API 结构化数据字段、上传解析、Webhook/XML/SOAP、队列消费者、Cookie 会话解码、备份恢复与配置加载等位置的安全审查。
限制：需具备代码审计基础；复现必须以无害标记证明控制，未经明确授权不得使用武器化 gadget 链；缓存记录存在截断，部分内容暂未提供。