Java序列化通过Serializable接口将对象转为字节流，用于存储或传输，反序列化则恢复对象；需显式定义serialVersionUID以确保版本兼容，transient字段和静态字段不被序列化，可通过writeObject、readObject等方法自定义序列化行为，注意安全风险与性能问题。
Java中的序列化（Serialization）是将对象的状态转换为字节流的过程，以便可以将其保存到文件、通过网络传输或在内存中持久化。反序列化则是将字节流恢复为原始对象的过程。理解其原理有助于避免常见问题，比如版本兼容性、安全漏洞和性能问题。
序列化的基础机制
Java通过java.io.Serializable接口实现序列化。这个接口是一个标记接口，不包含任何方法。只要类实现了它，该类的实例就可以被序列化。
当一个对象被序列化时，Java会递归地保存其所有非瞬态（non-transient）字段的值，包括其父类的状态（前提是父类也实现了Serializable）。基本类型字段会被直接写入，引用类型则继续递归处理。
核心流程由ObjectOutputStream和ObjectInputStream完成：
立即学习“Java免费学习笔记（深入）”；
- ObjectOutputStream.writeObject()：启动序列化，将对象图写成字节流
- ObjectInputStream.readObject()：反序列化，重建对象结构
序列化ID的作用（serialVersionUID）
每个可序列化类都应该显式定义private static final long serialVersionUID。JVM使用它来验证序列化与反序列化两端的类是否兼容。
如果没有显式声明，JVM会根据类名、字段、方法等生成一个哈希值，一旦类发生任何修改（如增删字段），哈希值就会变化，导致反序列化失败，抛出InvalidClassException。
建议始终手动指定serialVersionUID，便于控制版本兼容性：
private static final long serialVersionUID = 1L;自定义序列化行为
Java允许通过特定方法干预序列化过程：
- private void writeObject(ObjectOutputStream out)：在默认序列化前或后添加自定义逻辑
- private void readObject(ObjectInputStream in)：控制反序列化过程，比如校验数据或修复状态
- private Object readResolve()：用于防止反序列化破坏单例模式
- private Object writeReplace()：替换被序列化的对象（如用代理代替真实对象）
例如，在单例类中使用readResolve可以确保反序列化返回的是同一个实例，而不是新建一个。
transient关键字与静态字段
transient字段不会被序列化。适用于那些不需要持久化的临时状态，比如缓存、线程对象或数据库连接。
静态字段属于类而非实例，因此不会被序列化。即使你修改了静态变量的值，反序列化后它的值仍取决于当前JVM中的类状态。
如果某个transient字段需要在反序列化后恢复，可以在readObject中重新初始化。
继承与序列化注意事项
如果父类实现了Serializable，子类自动可序列化。但如果父类没有实现，而子类实现了，那么父类的字段不会被序列化，且要求父类有无参构造函数，因为在反序列化时需要用它来初始化父类部分。
这说明：序列化只保存“可序列化”对象的状态，非Serializable的父类需靠构造器重建状态。
安全与性能考虑
序列化存在安全隐患，尤其是反序列化不受信任的数据可能导致代码执行。Apache Commons Collections等库曾因反序列化漏洞被广泛利用。
建议：
- 避免序列化敏感信息（如密码），使用transient修饰
- 对反序列化输入进行校验
- 考虑使用更安全的替代方案，如JSON、Protobuf
- 注意序列化可能影响性能，特别是大对象图
基本上就这些。掌握序列化原理，关键在于理解对象状态如何被编码、版本如何控制、以及如何通过特殊方法定制行为。虽然现在越来越多系统转向轻量级数据格式，但在RMI、远程消息、缓存等场景中，Java原生序列化仍不可忽视。
