신뢰할 수 없는 직렬화 데이터를 JSON으로 바꾸기만 하면 역직렬화 위험이 사라진다고 단정할 수 없는 이유는?

1. 1

   JSON은 객체를 만들 수 없으므로 후속 타입 변환에서도 실행 경로가 생기지 않아서

2. 2

   TLS로 받은 JSON은 필드와 타입 허용목록을 검사하지 않아도 신뢰할 수 있어서

3. 3

   JSON 파서는 후속 타입 생성 로직과 항상 분리되므로 위험 클래스가 호출될 수 없어서

4. 4

   타입 지정과 후속 객체 생성 로직이 다시 위험한 클래스를 호출할 수 있어서