# V3099. Not all the members of type are serialized inside 'GetObjectData' method.

Анализатор обнаружил подозрительную реализацию метода 'GetObjectData', в котором сериализуются не все сериализуемые члены типа. Это может привести к неверной десериализации объекта или возникновению исключения типа 'SerializationException'.

Рассмотрим пример. Пусть имеется метод, выполняющий сериализацию и десериализацию объекта.

    static void Foo(BinaryFormatter bf, MemoryStream ms, Derived obj)
    {
      bf.Serialize(ms, obj);
      ms.Position = 0;
      obj = (Derived)bf.Deserialize(ms);
    }

Объявление класса 'Base':

    abstract class Base
    {
      public Int32 Prop { get; set; }
    }

Объявление класса 'Derived':

    [Serializable]
    sealed class Derived : Base, ISerializable
    {
      public String StrProp { get; set; }

      public Derived() { }

      private Derived(SerializationInfo info,
                      StreamingContext context)
      {
        StrProp = info.GetString(nameof(StrProp));
      }

      public void GetObjectData(SerializationInfo info,
                                StreamingContext context)
      {
        info.AddValue(nameof(StrProp), StrProp);
      }
    }

В данном коде разработчик класса 'Derived' забыл сериализовать свойство базового класса 'Prop', из-за чего в результате сериализации объекта его состояние не будет сохранено полностью. При десериализации значение свойства 'Prop' будет установлено в значение по умолчанию, в данном случае, равное 0.

Для того, чтобы сохранить состояние объекта в результате сериализации, необходимо изменить код, добавив в реализацию метода 'GetObjectData' сохранение значения свойства 'Prop'в объекте типа 'SerializationInfo', а в конструкторе сериализации - его извлечение.

Тогда исправленный код реализации метода 'GetObjectData' и конструктора сериализации класса 'Derived' может выглядеть так:

    private Derived(SerializationInfo info,
                    StreamingContext context)
    {
      StrProp = info.GetString(nameof(StrProp));
      Prop = info.GetInt32(nameof(Prop));
    }

    public void GetObjectData(SerializationInfo info,
                              StreamingContext context)
    {
      info.AddValue(nameof(StrProp), StrProp);
      info.AddValue(nameof(Prop), Prop);
    }

В примере, рассмотренном выше, разработчик базового класса не предусмотрел его сериализацию. Если же эта возможность предусмотрена и тип реализует интерфейс 'ISerializable', то для корректной сериализации членов базового класса необходимо вызвать метод 'GetObjectData' базового класса из производного:

    public override void GetObjectData(SerializationInfo info,
                                       StreamingContext context)
    {
      base.GetObjectData(info, context);
      ....
    }

Дополнительная информация:

- Пользовательская сериализация.

Данная диагностика классифицируется как:

CWE-684