当今爪哇的序列化和5

一分耕耘，一分收获！既然都打开这篇《当今爪哇的序列化和5》，就坚持看下去，学下去吧！本文主要会给大家讲到等等知识点，如果大家对本文有好的建议或者看到有不足之处，非常欢迎大家积极提出！在后续文章我会继续更新文章相关的内容，希望对大家都有所帮助！

Java序列化：安全与现代方法的权衡

虽然序列化代理模式在Java中仍然有效且安全，尤其适用于复杂不变类或需要严格不可变性的场景，但随着语言和开发实践的演进，更现代、更推荐的方法应运而生。本文将探讨Java序列化和反序列化的现代方法，并比较它们与传统方法的优劣。

1. 避免原生Java序列化 (Serializable)

Java创建者Joshua Bloch建议避免使用原生Java序列化，因为它存在安全性和复杂性风险。 更安全的替代方案包括JSON、XML或Protocol Buffers等序列化格式，这些格式提供了更精细的控制。

• 替代方案：
  • Jackson (com.fasterxml.jackson.databind) 用于JSON序列化。
  • Protocol Buffers (protobuf) / Apache Avro 用于更高效、更安全的序列化。

2. 使用不可变类和transient关键字

不可变对象天生更安全。 使用不可变的Java类替换可变类型（如Date，ArrayList）。Java 16引入的record特性简化了不可变类的创建，并消除了对防御性拷贝的需求。 同时，使用transient关键字标记敏感字段，防止它们被序列化。

示例：

public final class SecureData implements Serializable {
    private static final long serialVersionUID = 1L;

    private final String publicData;
    private transient String sensitiveData; // 不会被序列化

    public SecureData(String publicData, String sensitiveData) {
        this.publicData = publicData;
        this.sensitiveData = sensitiveData;
    }
}

3. ObjectInputFilter (Java 9及以上)

Java 9引入了ObjectInputFilter，允许定义安全过滤器，防止意外或恶意对象的反序列化攻击。

示例：

ObjectInputFilter filter = ObjectInputFilter.Config.createFilter("com.meusistema.seguraclass;!*");
ObjectInputStream ois = new ObjectInputStream(new FileInputStream("data.ser"));
ois.setObjectInputFilter(filter);

4. Kryo库 (更安全、更快)

Kryo是一个高效的序列化替代方案，比标准Java序列化更快、更安全，并在Akka等框架中广泛使用。

示例：

Kryo kryo = new Kryo();
Output output = new Output(new FileOutputStream("data.bin"));
kryo.writeObject(output, myObject);
output.close();

5. 自定义writeObject()和readObject()方法

通过自定义序列化和反序列化方法，可以更精细地控制序列化过程，阻止潜在攻击。

示例：

private void readObject(ObjectInputStream ois) throws IOException, ClassNotFoundException {
    throw new InvalidObjectException("反序列化不允许！");
}

6. 安全框架和数据传输对象 (DTO)

现代框架（如Spring Boot、Micronaut、Quarkus）通常避免原生Java序列化，更倾向于使用REST APIs和JSON进行安全的数据传输，并使用数据传输对象 (DTO)。

7. 基于构建器的序列化

替代使用代理，可以使用构建器或工厂模式在反序列化后重建对象，提高安全性。

示例：

public class Period implements Serializable {
    private final LocalDate start;
    private final LocalDate end;

    public Period(LocalDate start, LocalDate end) {
        if (end.isBefore(start)) throw new IllegalArgumentException();
        this.start = start;
        this.end = end;
    }

    private Object readObject(ObjectInputStream ois) throws IOException, ClassNotFoundException {
        ois.defaultReadObject();
        return new Period(start, end); // 安全重建
    }
}

何时原生Java序列化仍然有用？

• 关键系统： 例如财务系统，需要严格的验证。
• 遗留系统： 无法迁移到现代格式的项目。

结论：选择哪种方法？

如果安全性至关重要，应避免原生Java序列化，而选择JSON或Protocol Buffers。如果必须使用Java序列化，则应结合使用ObjectInputFilter和不可变类。 选择最适合项目需求和安全级别的方法至关重要。

到这里，我们也就讲完了《当今爪哇的序列化和5》的内容了。个人认为，基础知识的学习和巩固，是为了更好的将其运用到项目中，欢迎关注golang学习网公众号，带你了解更多关于的知识点！