Java通过实现Serializable接口实现对象序列化与反序列化，使用ObjectOutputStream和ObjectInputStream进行读写操作，推荐显式声明serialVersionUID以确保版本兼容性；transient关键字可标记不参与序列化的字段，用于保护敏感数据；通过自定义writeObject和readObject方法能控制序列化过程，实现加密等逻辑；但反序列化存在安全风险，如任意代码执行漏洞，需通过过滤类、避免序列化敏感信息等方式防范。
Java中对象序列化和反序列化，简单来说，就是把Java对象转换成字节流，以及把字节流恢复成Java对象的过程。这对于持久化对象状态，或者在网络上传输对象非常有用。
序列化：将Java对象转换为字节流。 反序列化：将字节流转换回Java对象。
序列化和反序列化在Java中是如何实现的？
要让一个Java对象能够被序列化，需要实现
java.io.Serializable接口。这个接口是一个标记接口，没有任何方法需要实现，它的作用就是告诉JVM，这个类的对象是可以被序列化的。
import java.io.*;
public class MyObject implements Serializable {
private static final long serialVersionUID = 1L; // 推荐显式声明
private String name;
private int age;
public MyObject(String name, int age) {
this.name = name;
this.age = age;
}
public String getName() {
return name;
}
public int getAge() {
return age;
}
public static void main(String[] args) {
MyObject obj = new MyObject("Alice", 30);
// 序列化
try (FileOutputStream fileOut = new FileOutputStream("myobject.ser");
ObjectOutputStream out = new ObjectOutputStream(fileOut)) {
out.writeObject(obj);
System.out.println("Serialized data is saved in myobject.ser");
} catch (IOException i) {
i.printStackTrace();
}
// 反序列化
try (FileInputStream fileIn = new FileInputStream("myobject.ser");
ObjectInputStream in = new ObjectInputStream(fileIn)) {
MyObject obj2 = (MyObject) in.readObject();
System.out.println("Deserialized Object: Name = " + obj2.getName() + ", Age = " + obj2.getAge());
} catch (IOException i) {
i.printStackTrace();
} catch (ClassNotFoundException c) {
System.out.println("MyObject class not found");
c.printStackTrace();
}
}
}这段代码展示了如何将一个
MyObject对象序列化到文件
myobject.ser，然后再从该文件中反序列化出来。 需要注意的是，
serialVersionUID的作用。 它是用来在反序列化时验证类的版本一致性的。 如果类的结构发生了改变（比如增加了字段），而
serialVersionUID没有改变，反序列化可能会失败。 所以，推荐显式地声明
serialVersionUID。
立即学习“Java免费学习笔记（深入）”；
transient 关键字有什么用？
有时候，我们不希望某个字段被序列化。 例如，一个密码字段，或者一个缓存对象。 可以使用
transient关键字来标记这些字段。
import java.io.*;
public class MyObject implements Serializable {
private static final long serialVersionUID = 1L;
private String name;
private transient String password; // 不会被序列化
public MyObject(String name, String password) {
this.name = name;
this.password = password;
}
// ...
}当对象被序列化时，
password字段的值会被忽略。 在反序列化后，
password字段的值会是
null(对于对象引用) 或默认值 (对于基本类型)。 这是一个保护敏感数据的好方法。
启科网络PHP商城系统
下载
启科网络商城系统由启科网络技术开发团队完全自主开发，使用国内最流行高效的PHP程序语言，并用小巧的MySql作为数据库服务器，并且使用Smarty引擎来分离网站程序与前端设计代码，让建立的网站可以自由制作个性化的页面。 系统使用标签作为数据调用格式，网站前台开发人员只要简单学习系统标签功能和使用方法，将标签设置在制作的HTML模板中进行对网站数据、内容、信息等的调用，即可建设出美观、个性的网站。
自定义序列化和反序列化
Java 提供了自定义序列化和反序列化的机制，通过实现
writeObject和
readObject方法。 这允许你控制序列化和反序列化的过程，例如，加密敏感数据，或者处理复杂的对象关系。
import java.io.*;
public class MyObject implements Serializable {
private static final long serialVersionUID = 1L;
private String name;
private transient String password;
public MyObject(String name, String password) {
this.name = name;
this.password = password;
}
private void writeObject(ObjectOutputStream out) throws IOException {
// 自定义序列化逻辑
out.defaultWriteObject(); // 先序列化非 transient 字段
// 加密 password
String encryptedPassword = encrypt(password);
out.writeObject(encryptedPassword);
}
private void readObject(ObjectInputStream in) throws IOException, ClassNotFoundException {
// 自定义反序列化逻辑
in.defaultReadObject(); // 先反序列化非 transient 字段
// 解密 password
String encryptedPassword = (String) in.readObject();
this.password = decrypt(encryptedPassword);
}
private String encrypt(String password) {
// 简单的加密示例，实际应用中需要更强的加密算法
return new StringBuilder(password).reverse().toString();
}
private String decrypt(String encryptedPassword) {
// 简单的解密示例
return new StringBuilder(encryptedPassword).reverse().toString();
}
// ...
}在这个例子中，
writeObject方法在序列化时加密了
password字段，
readObject方法在反序列化时解密了
password字段。 注意
defaultWriteObject和
defaultReadObject方法，它们用于序列化和反序列化非
transient字段。
序列化和反序列化有什么安全风险？
反序列化漏洞是Java中一个常见的安全问题。 如果攻击者能够控制序列化的数据，他们可以构造恶意对象，导致任意代码执行。 例如，攻击者可以构造一个包含恶意命令的对象，当这个对象被反序列化时，恶意命令就会被执行。
为了避免反序列化漏洞，可以采取以下措施：
- 避免序列化敏感数据。
- 使用安全的序列化框架，例如 Kryo。
- 使用对象过滤，限制可以被反序列化的类。
- 禁用不必要的反序列化功能。
总而言之，Java的序列化和反序列化机制非常强大，但也需要谨慎使用，特别是涉及到安全问题时。
