用途：针对 OWASP A08 不安全反序列化，帮助在解析序列化对象、处理会话数据与 Cookie、处理带类型信息的 API 载荷、使用消息队列以及导入导出数据时避免远程代码执行（RCE）与对象注入。
主要能力：按语言列出风险与影响，Java 的 ObjectInputStream、Python 的 pickle/marshal、PHP 的 unserialize()、Ruby 的 Marshal.load、.NET 的 BinaryFormatter 均标为 CRITICAL，可致 RCE；Node.js 的 node-serialize 标为 HIGH；JavaScript 的 JSON.parse 为 LOW，主要风险是原型污染。同时给出各语言“易受攻击写法”与“安全写法”对照。
使用方式：优先用 JSON 或 Protocol Buffers 替代原生序列化；YAML 使用 safe_load/SafeLoader/SAFE_SCHEMA；JSON 库关闭类型处理（如 .NET TypeNameHandling.None）；必须反序列化时使用类白名单（Java 的 ValidatingObjectInputStream、ObjectInputFilter，PHP 的 allowed_classes）或对数据做 HMAC 签名后校验（Python、Node.js 示例）。JavaScript 侧通过过滤 proto、constructor、prototype 键，Object.freeze(Object.prototype)、Object.create(null) 或 Map 防原型污染。
适用场景：代码审计与修复、安全代码评审、会话与 Cookie 处理、消息队列消费、数据导入导出。技能附带代码评审清单与最佳实践（避免原生序列化、签名校验、类型白名单、输入校验、最小权限、日志监控）。
限制：资料为安全实践指导，未提供安装命令、工具版本、许可或收费信息。