Newtonsoft.Json 与 System.Text.Json 多态反序列化的安全性差异解析

thbcm阅读(186)

  Newtonsoft.Json 通过 TypeNameHandling 配置项控制是否在 JSON 中嵌入类型元数据。当设置 TypeNameHandling 支持多态时,JSON 会携带 $type 字段(包含类型的完全限定名和程序集信息),反序列化时直接根据该字段实例化对应类型。这种设计虽然灵活支持多态,但缺乏默认的类型校验机制,攻击者可构造包含恶意类型的 JSON,触发敏感类型实例化。

Django QuerySet filter 完全指南:高效查询数据的核心技巧

thbcm阅读(138)

filter() 的核心优势在于“惰性执行”——调用时不会立即访问数据库,只有当迭代结果、调用
len()
list() 等方法时,才会触发 SQL 查询。这种机制让链式调用成为可能,多个过滤条件会被合并为一条高效的 SQL 语句。

联系我们