シリアライゼーション（直列化） とは？

プログラムの中にあるデータって、メモリ上ではバラバラな場所に散らばっているんだ。それをファイルに保存したりネットワークで送ったりするには、一列に並んだ形に変換しないといけない。この「梱包作業」がシリアライゼーションだよ。

よく使われるのはJSONだね。たとえば{name: "Ken", age: 30}というオブジェクトを'{"name":"Ken","age":30}'という文字列に変換する。他にもXMLやバイナリ形式など、用途に応じていろいろなフォーマットがあるよ。

もちろん！元に戻すのを「デシリアライゼーション」と呼ぶよ。受け取った文字列やバイト列から元のオブジェクトを復元するんだ。ただし信頼できないデータを復元すると悪意あるコードが実行される脆弱性があって、「安全でないデシリアライゼーション」としてセキュリティの世界ではよく注意喚起されているポイントだよ。

JSONは人間が読めるテキスト形式で、Web APIやフロントエンドとの通信に最適。Protocol Buffers（protobuf）はバイナリ形式でサイズが小さく高速だから、マイクロサービス間の内部通信やgRPCで使われるよ。「外向きはJSON、内向きはprotobuf」が一般的な使い分けだね。

一番の対策は「信頼できないデータをオブジェクトとしてデシリアライズしない」こと。JavaのObjectInputStreamや、PythonのpickleでWebから受け取ったデータを復元するのは非常に危険。代わりにJSONのように、構造だけを復元して任意のコード実行ができないフォーマットを使うべきだよ。実際にApache Struts2の脆弱性では、デシリアライゼーション攻撃で大量の個人情報が漏洩した事例があるんだ。