四组对照实验：默认 JVM 拒远程代码基、却默认放行反序列化，两道防线默认值相反。两个让复现失败的真实 bug，一条不依赖利用成功的检测规则，全部有原始证据。