序列化和反序列化
序列化也就是串行化，串行化(Serialization)是计算机科学中的一个概念，它是指将对象存储到介质（如文件、内存缓冲区等）中或是以二进制方式通过网络传输。之后 可以通过反串行化从这些连续的字节（byte）数据重新构建一个与原始对象状态相同的对象，因此在特定情况下也可以说是得到一个副本，但并不是所有情况都 这样。
特性：
串行化有以下但不局限于这些优点：
1.串行化是一种更好地使用类持久化的方法
2.可用于远程方法调用，如SOAP
3.一种分布对象的方法，特别是在软件组件中，如COM、CORBA等
4.在随时间变化的数据（time-varying data）检测改变由于这些特性都是十分有用的，所以必须维持串行化的体系结构独立性。例如在一台运行在不同硬件构架上的计算机应该能够可靠地重新构建数据而不关心其对字节（byte）数据的编排方（endianness）。
.NET 序列化
序列化是将对象转换为容易传输的格式的过程。例如，可以序列化一个对象，然后使用 HTTP 通过 Internet 在客户端和服务器之间传输该对象。在另一端，反序列化将从该流重新构造对象。
序列化是指一个对象的实例可以被保存，保存成一个二进制串，当然，一旦被保存成二进制串，那么也可以保存成文本串了。
比如，一个计数器，数值为2，我们可以用字符串“2”表示。
如果有个对象，叫做connter，当前值为2，那么可以序列化成“2”，反向的，也可以从“2”得到值为2的计数器实例。
这样，关机时序列化它，开机时反序列化它，每次开机都是延续的。不会都是从头开始。
序列化概念的提出和实现，可以使我们的应用程序的设置信息保存和读取更加方便。
序列化有很多好处，比如，在一台机器上产生一个实例，初始化完毕，然后可以序列化，通过网络传送到另一台机器，然后反序列化，得到对象实例，之后再执行某些业务逻辑，得到结果，再序列化，返回第一台机器，第一台机器得到对象实例，得到结果。
这个例子是目前比较先进的“智能代理”的原理。
当前比较热火的web services使用soap协议，soap协议也是以对象的可序列化为基础的。
[XmlRoot("humanResource")] public class HumanResource { #region private data. private int m_record = 0; private Worker[] m_workers = null; #endregion [XmlAttribute(AttributeName="record")] public int Record { get { return m_record; } set { m_record = value; } } [XmlElement(ElementName="worker")] public Worker[] Workers { get { return m_workers; } set { m_workers = value; } } } public class Worker { #region private data. private string m_number = null; private InformationItem[] m_infoItems = null; #endregion [XmlAttribute("number")] public string Number { get { return m_number; } set { m_number = value; } } [XmlElement("infoItem")] public InformationItem[] InfoItems { get { return m_infoItems; } set { m_infoItems = value; } } } public class InformationItem { #region private data. private string m_name = null; private string m_value = null; #endregion [XmlAttribute(AttributeName = "name")] public string Name { get { return m_name; } set { m_name = value; } } [XmlText] public string Value { get { return m_value; } set { m_value = value; } } }
2. 序列化生成的xml结构
public sealed class ConfigurationManager { private static HumanResource m_humanResource = null; private ConfigurationManager(){} public static HumanResource Get(string path) { if (m_humanResource == null) { FileStream fs = null; try { XmlSerializer xs = new XmlSerializer(typeof(HumanResource)); fs = new FileStream(path, FileMode.Open, FileAccess.Read); m_humanResource = (HumanResource)xs.Deserialize(fs); fs.Close(); return m_humanResource; } catch { if (fs != null) fs.Close(); throw new Exception("Xml deserialization failed!"); } } else { return m_humanResource; } } public static void Set(string path, HumanResource humanResource) { if (humanResource == null) throw new Exception("Parameter humanResource is null!"); FileStream fs = null; try { XmlSerializer xs = new XmlSerializer(typeof(HumanResource)); fs = new FileStream(path, FileMode.Create, FileAccess.Write); xs.Serialize(fs, humanResource); m_humanResource = null; fs.Close(); } catch { if (fs != null) fs.Close(); throw new Exception("Xml serialization failed!"); } } }
有关.NET中序列化的一些知识 “序列化”可被定义为将对象的状态存储到存储媒介中的过程。在此过程中，对象的公共字段和私有字段以及类的名称（包括包含该类的程序集）都被转换为字节流，然后写入数据流。在以后“反序列化”该对象时，创建原始对象的精确复本。
一、为什么要选择序列化
一个原因是将对象的状态保持在存储媒体中，以便可以在以后重新创建精确的副本；
另一个原因是通过值将对象从一个应用程序域发送到另一个应用程序域中。
例如，序列化可用于在 ASP.NET 中保存会话状态并将对象复制到 Windows 窗体的剪贴板中。远程处理还可以使用序列化通过值将对象从一个应用程序域传递到另一个应用程序域中。
二、如何实现对象的序列化及反序列化
要实现对象的序列化，首先要保证该对象可以序列化。而且，序列化只是将对象的属性进行有效的保存，对于对象的一些方法则无法实现序列化的。
实现一个类可序列化的最简便的方法就是增加Serializable属性标记类。如：
[Serializable()] public class MEABlock { private int m_ID; public string Caption; public MEABlock() { ///构造函数 } }
即可实现该类的可序列化。
要将该类的实例序列化为到文件中？.NET FrameWork提供了两种方法：
1、XML序列化
使用 XmLSerializer 类，可将下列项序列化。
- 公共类的公共读／写属性和字段
- 实现 ICollection 或 IEnumerable 的类。（注意只有集合会被序列化，而公共属性却不会。）
- XmlElement 对象。
- XmlNode 对象。
- DataSet 对象。
要实现上述类的实例的序列化，可参照如下例子：
MEABlock myBlock = new MEABlock();
// Insert code to set properties and fields of the object.
XmlSerializer mySerializer = new XmlSerializer(typeof(MEABlock));
// To write to a file, create a StreamWriter object.
StreamWriter myWriter = new StreamWriter("myFileName.xml");
mySerializer.Serialize(myWriter, MEABlock);
需要注意的是XML序列化只会将public的字段保存，对于私有字段不予于保存。
生成的XML文件格式如下：
<MEABlock>
<Caption>Test</Caption>
</MEABlock>
对于对象的反序列化，则如下：
MEABlock myBlock;
// Constructs an instance of the XmlSerializer with the type
// of object that is being deserialized.
XmlSerializer mySerializer = new XmlSerializer(typeof(MEABlock));
// To read the file, creates a FileStream.
FileStream myFileStream = new FileStream("myFileName.xml", FileMode.Open);
// Calls the Deserialize method and casts to the object type.
myBlock = (MEABlock)mySerializer.Deserialize(myFileStream)
2、二进制序列化
与XML序列化不同的是，二进制序列化可以将类的实例中所有字段（包括私有和公有）都进行序列化操作。这就更方便、更准确的还原了对象的副本。
要实现上述类的实例的序列化，可参照如下例子：
MEABlock myBlock = new MEABlock();
// Insert code to set properties and fields of the object.
IFormatter formatter = new BinaryFormatter();
Stream stream = new FileStream("MyFile.bin",FileMode.Create,FileAccess.Write, FileShare.None);
formatter.Serialize(stream, myBlock);
stream.Close();
对于对象的反序列化，则如下：
IFormatter formatter = new BinaryFormatter();
Stream stream = new FileStream("MyFile.bin", FileMode.Open,FileAccess.Read, FileShare.Read);
MEABlock myBlock = (MEABlock) formatter.Deserialize(stream);
stream.Close();
三、如何变相实现自定义可视化控件的序列化、反序列化
对于WinForm中自定义控件，由于继承于System.Windows.Form类，而Form类又是从MarshalByRefObject继承的，窗体本身无法做到序列化，窗体的实现基于Win32下GUI资源，不能脱离当前上下文存在。
当然可以采用变通的方法实现控件的序列化。这里采用的是记忆类模型。
定义记忆类（其实就是一个可序列化的实体类）用于记录控件的有效属性，需要序列化控件的时候，只需要将该控件的实例Copy到记忆类，演变成序列化保存该记忆类的操作。
反序列化是一个逆过程。将数据流反序列化成为该记忆类，再根据该记忆类的属性生成控件实例。而对于控件的一些事件、方法则可以继续使用。
保护 XmlSerializer 应用程序
在创建使用 XmlSerializer 的应用程序时，您应当了解以下几点以及它们的影响：
- XmlSerializer创建 C# 文件 (.cs 文件)，并将其编译成 .dll 文件，这些 .dll 文件位于由 TEMP 环境变量指定的目录中；这些 DLL 文件将发生序列化。
代码和 DLL 在创建和进行编译时，易于遭受恶意进程的攻击。如果所使用的计算机运行的是 Microsoft Windows NT 4.0 或更高版本，则有可能会有两个或更多用户共享临时目录。如果同时存在以下两种情况，则共享临时目录是有危险性的：(1) 两个帐户有不同的安全特权；(2) 具有较高特权的帐户运行一个使用 XmlSerializer 的应用程序。在这种情况下，某一用户可以替换所编译的 .cs 或 .dll 文件，由此破坏计算机的安全性。为了避免发生这一问题，请始终确保计算机上的每一帐户都有自己的配置文件。如果能够保证这一点的话，默认情况下，TEMP 环境变量就会为不同的帐户指定不同的目录。
- 如果一名恶意用户向 Web 服务器发送持续的 XML 数据流（拒绝服务攻击），XmlSerializer会一直处理这一数据，直到计算机资源不够用才停止。
如果您所使用的计算机运行 Internet 信息服务 (IIS)，并且您的应用程序是在 IIS 下运行，就可以避免这类攻击。IIS 带有一个控制门，用于禁止处理大于设定数量（默认值是 4 KB）的数据流。如果您所创建的应用程序不使用 IIS，同时该应用程序使用 XmlSerializer 进行反序列化，则应该实现一个类似的控制门，以阻止拒绝服务攻击。
- XmlSerializer将使用给予它的任何类型，对数据进行序列化，并运行任何代码。
恶意对象施加威胁的方式有两种。一种是运行恶意代码，另一种是将恶意代码插入到由 XmlSerializer 创建的 C# 文件中。在第一种情况下，如果恶意对象试图运行破坏性过程，代码访问安全性将帮助防止发生任何破坏。在第二种情况下，在理论上，恶意对象有可能会以某种方式将代码插入到由 XmlSerializer 创建的 C# 文件中。尽管对这一问题已进行了彻底的检验，而且这类攻击被认为是不可能的，但您还是应该小心一些，一定不要序列化那些不可信的未知类型的数据。
- 已序列化的重要数据可能易于遭到攻击。
XmlSerializer 对数据进行了序列化之后，数据可以被存储为 XML 文件，或存储在其他数据存储区。如果其他进程可以访问到您的数据存储区，或是可以在 Intranet 或 Internet 上看到该数据存储区，数据就可能被窃取，并被恶意使用。例如，如果您创建了一个应用程序，对包含信用卡号码的订单进行序列化，这一数据就非常重要。为了防 止发生这一问题，请始终保护您的数据存储区，并对数据采取保密措施。
XML 序列化注意事项
使用 XmlSerializer 类时，应考虑下列情况：
- 序列化数据只包含数据本身以及类的结构。不包括类型标识和程序集信息。
- 只能序列化公共属性和字段。如果需要序列化非公共数据，请使用 BinaryFormatter 类而不是 XML 序列化。
- 类必须有一个将由 XmlSerializer 序列化的默认构造函数。
- 不能序列化方法。
- XmlSerializer 可以以不同方式处理实现 IEnumerable 或 ICollection 的类（条件是这些类满足某些要求）。实现 IEnumerable 的类必须实现带单个参数的公共 Add 方法。Add 方法的参数必须与从 GetEnumerator 方法返回的 IEnumerator.Current 属性所返回的类型一致（多态）。除实现 IEnumerable 外还实现 ICollection 的类（如 CollectionBase）必须有一个取整数的公共 Item 索引属性（在 C# 中为索引器），并且它必须有一个整数类型的公共 Count 属性。传递给 Add 方法的参数必须与从 Item 属性返回的类型相同或与该类型的某个基的类型相同。对于实现 ICollection 的类，要序列化的值将从索引 Item 属性检索，而不是通过调用 GetEnumerator 来检索。另外请注意，除返回另一个集合类（实现 ICollection 的集合类）的公共字段之外，将不序列化公共字段和属性。
总结：
本文章主要讲了下 什么是序列化，序列化的用途。在.NET里序列化的方法，主要分为xml序列化和二进制序列化及两种序列化类型的特点，以及使用序列化会涉及到的安全方面的问题。希望能让不大了解序列化的朋友能有所明白。
谢谢 。