InvalidObjectException 是开发者在 readObject 中主动抛出的校验失败信号，表明对象已反序列化完成但业务规则不通过；它仅出现在自定义 readObject 且校验失败时，需先 defaultReadObject 再校验，不可用于 JSON 反序列化。
反序列化时抛出 InvalidObjectException 是什么信号
它不是“反序列化失败”的泛泛报错，而是你主动在 readObject 或 readResolve 里 throw 出来的“校验不通过”——JVM 本身不会自动抛这个异常。换句话说，看到它，说明代码里写了明确的合法性拦截逻辑，但当前对象没过审。
readObject 中手动 throw InvalidObjectException 的典型写法
必须配合 private void readObject(ObjectInputStream in) 自定义反序列化流程，且只在验证失败时抛出。常见于字段非空、范围、格式等强约束场景。
- 先调用
in.defaultReadObject()完成基础字段还原，再做校验 - 校验失败直接
throw new InvalidObjectException("reason")，不要 try-catch 吞掉 - 避免在
readObject里调用可能触发反序列化链的外部方法（比如解析 JSON、查数据库），否则可能绕过校验或引发 NPE - 如果类实现了
Serializable但没写readObject，InvalidObjectException根本不会出现
private void readObject(ObjectInputStream in) throws IOException, ClassNotFoundException {
in.defaultReadObject();
if (this.id <= 0) {
throw new InvalidObjectException("id must be positive");
}
}
和 InvalidClassException、StreamCorruptedException 的关键区别
这三个异常常被混淆，但触发时机和含义完全不同：
-
InvalidClassException：序列化版本号（serialVersionUID）不匹配，或类结构变更后未更新该值 -
StreamCorruptedException：字节流本身损坏（如截断、编码错误），连基本反序列化头都解析失败 -
InvalidObjectException：流能正常读完、对象已构造，但业务规则判定“这数据不能要”
所以排查顺序应该是：先确认流是否完整 → 再核对 serialVersionUID → 最后看 readObject 里的校验逻辑是否过于严格或条件写错。
立即学习“Java免费学习笔记（深入）”；
容易被忽略的兼容性陷阱
这个异常一旦抛出，整个反序列化流程就终止，上层无法通过常规 catch 恢复对象实例——除非你在更高层捕获并兜底构造默认对象，但这会破坏语义一致性。
- 新增校验逻辑时，要考虑老版本客户端发来的旧数据是否仍需兼容；若不能兼容，应同步升级客户端，而非静默降级
- 日志中只打印
InvalidObjectException的 message 很难定位问题，建议在 throw 前记录原始字段值（如log.warn("invalid id={}", this.id)） - 使用 Jackson / Gson 等 JSON 库时不会触发该异常，它只属于 Java 原生
ObjectInputStream体系
真正麻烦的是：当校验逻辑依赖外部状态（比如检查用户权限、查缓存），而反序列化发生在无上下文环境（如 RMI 调用入口、定时任务线程），这些依赖很可能为 null 或未初始化。
