要序列化异常类，必须添加[serializable]特性，若包含复杂成员则需实现iserializable接口并提供序列化构造函数和getobjectdata方法；2. 序列化异常可跨应用程序域、进程或机器传递完整异常信息，保留堆栈和自定义数据，便于分布式系统中的错误处理；3. 处理版本兼容性可通过optionalfieldattribute标记新增字段、实现ideserializationcallback接口进行反序列化后验证或初始化、在序列化数据中加入版本控制；4. 安全方面需避免序列化敏感信息、验证数据完整性、使用serializationbinder限制反序列化类型以防止反序列化漏洞，并及时更新框架补丁；5. 自定义serializationbinder可确保仅反序列化受信任类型，从而提升系统安全性。
SerializableAttribute 告诉运行时，这个类的对象可以被序列化，也就是说，可以转换成字节流存储起来，或者通过网络传输。在异常类中，这允许你在不同的应用程序域、进程，甚至不同的机器之间传递异常信息。
序列化异常，本质上就是把异常对象的状态保存下来，以便后续重建。
解决方案
要序列化一个异常类，你需要：
- 给你的异常类加上
[Serializable]
特性。 - 如果你的异常类包含不能被默认序列化的成员（比如事件），你需要实现
ISerializable
接口，并提供自定义的序列化和反序列化逻辑。
[Serializable]
public class MyCustomException : Exception, ISerializable
{
public string CustomData { get; set; }
public MyCustomException() { }
public MyCustomException(string message) : base(message) { }
public MyCustomException(string message, Exception inner) : base(message, inner) { }
// 自定义序列化构造函数
protected MyCustomException(SerializationInfo info, StreamingContext context) : base(info, context)
{
CustomData = info.GetString("CustomData");
}
// 自定义序列化方法
public override void GetObjectData(SerializationInfo info, StreamingContext context)
{
base.GetObjectData(info, context);
info.AddValue("CustomData", CustomData);
}
}如果你的异常类只是简单地继承自
Exception，并且没有添加额外的不可序列化的成员，那么只需要
[Serializable]属性就足够了。但是，一旦你引入了复杂的类型，或者需要更精细的控制，
ISerializable接口就派上用场了。
为什么要序列化异常？
很多时候，异常发生在一个地方，但需要被另一个地方处理。比如，一个Web服务器上的某个请求处理过程中抛出了异常，你可能想把这个异常信息记录到日志服务器上，或者传递给客户端。这时，序列化就成了必须的手段。想象一下，如果没有序列化，你只能传递异常的类型名称和消息，而丢失了异常的堆栈信息、自定义数据等重要内容，这对于调试和问题排查来说简直是噩梦。
如何处理反序列化时的版本兼容性问题？
异常类在不同的版本中可能会发生变化，比如添加了新的属性，或者修改了现有的属性类型。这时，反序列化旧版本的异常对象可能会失败。为了解决这个问题，你可以：
-
使用
OptionalFieldAttribute
： 对于新增的属性，可以使用OptionalFieldAttribute
来标记，这样在反序列化旧版本的对象时，如果找不到该属性，就不会抛出异常。 -
实现
IDeserializationCallback
接口： 这个接口允许你在反序列化完成后执行一些自定义的逻辑，比如检查反序列化后的对象是否有效，或者对一些属性进行初始化。 - 使用版本控制： 在序列化数据中包含版本信息，然后在反序列化时根据版本信息来选择不同的处理逻辑。这是一种更复杂但更可靠的方案。
举个例子，假设你在
MyCustomException类中新增了一个
NewProperty属性：
[Serializable]
public class MyCustomException : Exception, ISerializable, IDeserializationCallback
{
public string CustomData { get; set; }
[OptionalField]
private string NewProperty;
public MyCustomException() { }
public MyCustomException(string message) : base(message) { }
public MyCustomException(string message, Exception inner) : base(message, inner) { }
protected MyCustomException(SerializationInfo info, StreamingContext context) : base(info, context)
{
CustomData = info.GetString("CustomData");
// 注意：这里不需要显式地反序列化 NewProperty，因为 OptionalFieldAttribute 会处理
}
public override void GetObjectData(SerializationInfo info, StreamingContext context)
{
base.GetObjectData(info, context);
info.AddValue("CustomData", CustomData);
// 注意：这里需要显式地序列化 NewProperty
}
public void OnDeserialization(object sender)
{
// 在反序列化完成后执行一些检查或初始化操作
if (CustomData == null)
{
CustomData = "Default Value";
}
}
}序列化异常时需要注意哪些安全问题？
序列化本身就可能带来安全风险，特别是当反序列化的数据来自不可信的来源时。恶意用户可以通过构造恶意的序列化数据来执行任意代码，这就是所谓的“反序列化漏洞”。
为了避免这种风险，你需要：
- 避免序列化敏感信息： 尽量不要在异常对象中包含敏感信息，比如密码、密钥等。
- 验证反序列化数据的完整性： 可以使用数字签名等技术来确保反序列化数据没有被篡改。
-
限制反序列化的类型： 只允许反序列化你信任的类型，可以使用
SerializationBinder
来实现。 - 使用最新的安全补丁： 及时更新你的.NET Framework 或 .NET Core 版本，以修复已知的安全漏洞。
例如，你可以创建一个自定义的
SerializationBinder来限制反序列化的类型：
public class MySerializationBinder : SerializationBinder
{
public override Type BindToType(string assemblyName, string typeName)
{
Type typeToDeserialize = null;
// 只允许反序列化 MyCustomException 和 Exception 类型
if (assemblyName == "MyAssembly" && typeName == "MyAssembly.MyCustomException")
{
typeToDeserialize = Type.GetType(String.Format("{0}, {1}", typeName, assemblyName));
}
else if (assemblyName == "System.Private.CoreLib" && typeName == "System.Exception")
{
typeToDeserialize = Type.GetType(String.Format("{0}, {1}", typeName, assemblyName));
}
return typeToDeserialize;
}
}然后在反序列化时使用这个
SerializationBinder：
BinaryFormatter formatter = new BinaryFormatter();
formatter.Binder = new MySerializationBinder();
using (Stream stream = new FileStream("data.bin", FileMode.Open, FileAccess.Read, FileShare.Read))
{
MyCustomException exception = (MyCustomException)formatter.Deserialize(stream);
}这样做可以有效地防止恶意用户通过构造恶意的序列化数据来执行任意代码。
总的来说，
SerializableAttribute让异常可以跨越应用程序域和进程边界传递，方便了分布式系统中的错误处理。但同时也要注意版本兼容性和安全问题，采取适当的措施来保证系统的稳定性和安全性。
