1. 什么是 Java 自带序列化Java 自带序列化Java Built-in Serialization是 Java 平台提供的一种对象持久化机制它允许将对象的状态转换为字节序列以便存储到文件、数据库或通过网络传输并在需要时重新构造出原始对象。Java 序列化机制的核心是java.io.Serializable接口。任何实现了该接口的类都可以被序列化。2. 核心 API 与使用方式2.1 基本序列化与反序列化import java.io.*; // 1. 定义可序列化的类 class Person implements Serializable { private static final long serialVersionUID 1L; private String name; private int age; public Person(String name, int age) { this.name name; this.age age; } Override public String toString() { return Person{name name , age age }; } } public class SerializationDemo { public static void main(String[] args) { Person person new Person(张三, 25); // 序列化对象 - 字节流 try (ObjectOutputStream oos new ObjectOutputStream( new FileOutputStream(person.ser))) { oos.writeObject(person); System.out.println(对象已序列化到文件); } catch (IOException e) { e.printStackTrace(); } // 反序列化字节流 - 对象 try (ObjectInputStream ois new ObjectInputStream( new FileInputStream(person.ser))) { Person restoredPerson (Person) ois.readObject(); System.out.println(反序列化结果: restoredPerson); } catch (IOException | ClassNotFoundException e) { e.printStackTrace(); } } }2.2 关键类与方法ObjectOutputStream将对象写入输出流ObjectInputStream从输入流读取对象writeObject(Object obj)序列化方法readObject()反序列化方法serialVersionUID版本控制字段3. 序列化机制的特点3.1 优点简单易用只需实现 Serializable 接口无需额外配置自动处理对象图递归序列化对象的所有引用对象内置版本控制通过 serialVersionUID 管理兼容性平台无关字节序列可在不同 JVM 间传输3.2 缺点与限制性能问题序列化后的字节流较大处理速度较慢安全性风险反序列化可能执行恶意代码跨语言不兼容只能用于 Java 系统间通信类结构耦合序列化与类定义紧密绑定重构困难不支持循环引用默认序列化可能陷入无限递归4. 高级特性与定制4.1 transient 关键字使用transient修饰的字段不会被序列化class SensitiveData implements Serializable { private String username; private transient String password; // 不会被序列化 private transient ListString tokens; }4.2 自定义序列化过程通过实现writeObject()和readObject()方法来自定义序列化逻辑class CustomSerializable implements Serializable { private String data; private void writeObject(ObjectOutputStream out) throws IOException { out.defaultWriteObject(); // 默认序列化 // 自定义逻辑 out.writeUTF(data.toUpperCase()); } private void readObject(ObjectInputStream in) throws IOException, ClassNotFoundException { in.defaultReadObject(); // 默认反序列化 // 自定义逻辑 this.data in.readUTF().toLowerCase(); } }4.3 Externalizable 接口更细粒度的控制需要实现两个方法class ExternalizableDemo implements Externalizable { private String field; Override public void writeExternal(ObjectOutput out) throws IOException { out.writeUTF(field); } Override public void readExternal(ObjectInput in) throws IOException, ClassNotFoundException { this.field in.readUTF(); } }5. 安全注意事项验证输入源不要反序列化不可信的字节流使用白名单通过 ObjectInputFilter 限制可反序列化的类避免敏感数据序列化对密码、密钥等使用 transient更新 serialVersionUID类结构变更时及时更新版本号6. 替代方案在现代 Java 开发中通常推荐使用以下替代方案方案特点适用场景JSONJackson/Gson跨语言、易读、性能好Web API、配置文件Protocol Buffers高效、紧凑、跨语言微服务通信、数据存储Apache AvroSchema 驱动、高效大数据处理、HadoopKryo高性能 Java 序列化游戏、缓存、RPC7. 最佳实践显式声明 serialVersionUID避免自动生成导致版本不一致谨慎使用默认序列化考虑性能和安全影响实现 Serializable 要有明确理由不要为了序列化而序列化为序列化类编写单元测试确保序列化-反序列化过程正确考虑使用其他序列化框架根据需求选择合适方案8. 总结Java 自带序列化是 Java 平台的基础特性虽然简单易用但在性能、安全和跨语言支持方面存在局限。对于新项目建议优先考虑 JSON、Protocol Buffers 等现代序列化方案。如果必须使用 Java 序列化请遵循安全最佳实践并显式管理 serialVersionUID。
