[Serialize]关键字的作用是什么？为何C#/.NET不默认序列化所有类？

一、[Serializable]标签的核心意义 #

• 显式声明序列化意图：这个标签是给.NET运行时和其他开发者的明确信号——这个类的实例需要被序列化（比如用于跨进程消息传递、本地持久化存储等场景），相当于一份清晰的设计契约，避免歧义。
• 精细化控制序列化内容：配合[NonSerialized]属性，能精准排除不需要序列化的字段，比如临时计算变量、敏感的密码或密钥，防止这类数据被意外序列化泄露。

二、为什么.NET不默认让所有类可序列化 #

• 性能冗余开销：序列化需要遍历类的字段、处理类型元数据，对那些仅用于内存临时计算的类（比如业务逻辑中的临时模型）来说，默认开启序列化完全是不必要的性能浪费。
• 破坏封装与安全风险：很多类包含私有内部状态、敏感数据或依赖资源，默认序列化会把这些本不该对外暴露的信息泄露出去。比如一个包含数据库连接字符串的类，序列化后会直接把敏感的认证信息带出程序边界，引发安全问题。
• 版本兼容性噩梦：序列化后的对象和类结构强绑定，如果默认所有类可序列化，后续修改类结构（比如增减字段、修改类型）时，旧版本的序列化数据大概率无法正常反序列化，会给系统维护带来大量兼容性问题。
• 遵循最小权限原则：.NET的设计逻辑是“只赋予必要的能力”，序列化并非所有类都需要的功能，默认开启会引入额外的潜在风险，不符合最小权限的设计理念。

三、默认开启序列化的潜在弊端 #

如果.NET默认让所有类可序列化，除了上述的性能、安全、兼容性问题外，还会出现：

• 开发人员需要额外花费精力给不需要序列化的类添加排除标记，反而增加开发成本；
• 包含非托管资源的类（比如文件句柄、网络连接）序列化后无法正确恢复状态，会出现大量难以排查的反序列化异常。

内容的提问来源于stack exchange，提问作者Dominique