文章收录专栏Java 核心原理全解源码・并发・面试实战前言本文为 Java 序列化系列 · 下篇进阶生产篇 承接上篇基础内容专注底层原理、对象缓存机制、版本兼容高阶API、序列化代理模式、反序列化安全漏洞、JDK版本变化、数据库存储实战、线上踩坑复盘、企业选型最佳实践。适合已经掌握Serializable基础想要深挖底层、规避线上BUG、应对高阶面试的开发者。 基础概念、transient、serialVersionUID、继承规则请阅读上篇 【面试必背】Java序列化Serializable、transient、serialVersionUID完整梳理一、底层核心对象引用缓存与循环引用1.1 缓存实现原理ObjectOutputStream 内部持有一个对象‑输出句柄映射表。 每序列化一个对象就把对象存入缓存后续流中遇到同一个对象不会重复序列化对象数据只会输出一个引用编号。带来两个特性天然支持对象循环引用不会无限递归栈溢出同一流多次写出同一个对象读取得到的是同一个对象引用1.2 高频生产BUG修改对象后再次序列化不生效User user new User(张三,18); oos.writeObject(user); // 修改对象属性 user.setName(李四); oos.writeObject(user);反序列化出来第二个对象名字依旧是张三。原因流缓存已经记录该对象直接输出引用不会重新扫描对象最新状态。1.3 两种解决方案oos.reset()清空整个流的全部对象缓存适合简单场景缺点会重置全部历史对象记录。oos.writeUnshared(user)本次不使用缓存强制把当前对象完整序列化一遍不会改动历史缓存。面试考点区分 writeObject 和 writeUnshared 的区别。二、高阶版本兼容API2.1 readObjectNoData()当反序列化时流里面完全没有当前子类的任何字段数据时才会回调这个方法。 典型场景父类子类继承关系发生改动旧版本字节流缺少子类信息。注意仅仅新增几个字段不会触发 readObjectNoData很多面试题在这里挖坑。 在方法内可以给字段设置业务默认值避免字段为null。2.2 ObjectInputFilter 输入过滤JDK9 正式引入JDK8u121之后回移植到JDK8。 用来做反序列化黑白名单限制允许反序列化的类拦截恶意 Gadget 类是JDK官方提供的防御手段。三、readResolve / writeReplace 深度剖析面试高频上篇简单介绍这里补充生产坑。writeReplace序列化发生之前替换要写入流的对象。readResolve反序列化完成对象构造出来之后替换最终返回给程序的对象。3.1 单例序列化漏洞仅仅单例私有构造没有 readResolve反序列化会产生全新对象破坏单例。private Object readResolve() { return INSTANCE; }坑点readResolve 只改变返回对象流里面依旧保存着旧实例的完整字节数据不会改变流内容。3.2 和序列化代理模式的区别readResolve 只是替换返回对象序列化代理模式会把代理对象真正写入字节流安全性更高。四、Externalizable 生产坑点回顾Externalizable 完全自己实现读写逻辑。必须有无参构造器反序列化会反射调用无参构造没有直接抛异常。transient 修饰的字段依然需要手动读写transient关键字失效。serialVersionUID依然生效。业务中极少使用大部分场景用Serializable即可。五、序列化代理模式Effective Java推荐最安全方案普通 readResolve 存在攻击绕过风险Effective Java 重点推荐序列化代理模式。核心思路为业务实体编写一个私有静态代理类代理类保存业务对象全部核心字段。原类实现 writeReplace返回代理实例写入流。代理类实现 readResolve重新构建原始业务对象返回。// 业务实体 public class User implements Serializable { private String name; private Integer age; public User(String name, Integer age) { this.name name; this.age age; } // 序列化代理写入流的实际是这个代理对象 private static class SerializationProxy implements Serializable { private final String name; private final Integer age; public SerializationProxy(User user) { this.name user.name; this.age user.age; } // 反序列化代理重建原始对象 private Object readResolve() { return new User(name, age); } } // 序列化时替换为代理 private Object writeReplace() { return new SerializationProxy(this); } // 禁止直接反序列化本类防止攻击者构造恶意字节 private void readObject(ObjectInputStream in) throws InvalidObjectException { throw new InvalidObjectException(请使用序列化代理); } }优势攻击者无法构造恶意子类进行攻击反序列化强制调用业务构造器可以做参数校验可以无视原对象所有字段访问权限。缺点会额外多一层对象对超大对象会带来少量性能开销。六、容器类自定义序列化原理ArrayList / HashMapJDK集合类并没有简单把全部成员变量序列化。 以ArrayList举例底层elementData数组会预留大量空位置如果直接序列化会把大量null空间写入字节流体积膨胀。重写 writeObject只序列化数组中有效size个元素readObject读取时再重建elementData数组。HashMap同理会重新构建哈希表不会直接序列化table数组。面试考点为什么集合类要重写writeObject/readObject减少序列化字节体积。七、反序列化高危安全漏洞7.1 漏洞原理Java原生反序列化不需要调用业务构造器读取字节即可还原对象。 攻击者构造恶意序列化字节程序反序列化时会自动执行类内部readObject等逻辑配合第三方库的恶意调用链(Gadget)实现远程代码执行。受影响JDK原生序列化只要反序列化不受信任的字节流就有风险。 历史中招组件Commons‑Collections、Commons‑Beanutils 等。7.2 分层防御策略最高原则永远不要反序列化外部不可信来源的数据这是根本。使用 ObjectInputFilter 设置类黑白名单拦截危险类。在自定义 readObject 内部做严格字段校验拒绝非法参数。业务系统尽量彻底放弃Java原生序列化使用JSON、Protobuf替代。八、其他容易被忽略的序列化坑final修饰的字段可以通过序列化赋值绕过编译期final限制。不同类加载器场景类全限定名一样类加载器不同反序列化抛出类型不匹配异常。引用类型SoftReference、WeakReference序列化之后引用会丢失。枚举枚举序列化依靠枚举名字修改枚举常量名字旧字节流反序列化直接报错。静态内部类可以序列化非静态内部类自带外部类隐式引用极易序列化失败业务禁止序列化非静态内部类。九、JDK版本演进原生序列化现状JDK8序列化完整可用没有标记废弃ObjectInputFilter需要升级小版本。JDK9原生序列化被标记为 Legacy遗留机制官方明确不推荐继续使用。Java17/21提供开关可以禁用原生序列化未来版本会逐步移除。重点面试经常问Java官方对原生序列化的态度。十、数据库存储场景序列化实战规范很多项目会直接把 Java 序列化后的二进制字节存入数据库BLOB字段这里有大量线上踩坑点。10.1 重要概念区分数据库事务隔离级别SERIALIZABLE和 Java 对象序列化完全无关不要混淆。10.2 几种存储方案对比Java原生序列化二进制BLOB不建议业务使用。 缺点版本升级极易反序列化失败可读性为0数据库无法做条件查询跨语言完全不兼容存在反序列化安全风险。JSON字符串VARCHAR / TEXT业务最常用方案。 优点可读性好数据库支持JSON函数查询跨语言兼容版本向前向后兼容好。 缺点体积相比二进制偏大。Protobuf / Hessian 二进制适合高性能内部系统。 优点体积小序列化性能高版本兼容性强。 缺点数据库不能直接解析查询调试不方便。XML基本淘汰体积冗余大。10.3 什么场景可以把对象序列化存入数据库适合对象整体保存、整体读取几乎不会做where条件查询、不需要join关联的数据。 例如流程快照、历史备份快照、缓存备份。10.4 什么场景绝对不要序列化存储需要按对象内部字段做查询、过滤、统计、关联查询必须拆成数据库普通表字段不要塞二进制大字段。10.5 历史遗留系统注意事项老项目已经使用Java序列化BLOB存入数据库类升级务必维护好serialVersionUID禁止随意修改类继承、字段类型尽量做数据迁移逐步转为JSON存储。十一、生产环境完整最佳实践总结如果业务迫不得已要实现Serializable手写固定 serialVersionUID不要依赖自动生成。敏感字段标记transient业务层做加密不要依靠序列化做安全。同一个ObjectOutputStream多次写对象修改对象后记得 reset 或者 writeUnshared。单例、不可变类优先考虑序列化代理模式规避单例被破坏风险。网络接口、存储到数据库不要使用Java原生序列化字节优先JSON/Protobuf。禁止把Java序列化字节对外暴露给外部接口。不要序列化非静态内部类、Lambda。写在最后Java原生序列化看着API简单但是缓存机制、继承、安全漏洞坑点极多。面试是高频考点但是新项目尽量避免直接使用。本系列上篇讲解基础考点本篇讲解底层原理与生产踩坑两篇结合完整覆盖Java序列化全部核心内容。上一篇【面试必背】Java序列化Serializable、transient、serialVersionUID完整梳理标签Java序列化反序列化漏洞readResolvewriteReplace生产踩坑Java安全JDK后端面试