首页 > 文章 > java教程

Java序列化反序列化原理详解

时间：2025-06-27 09:24:13 282浏览收藏

学习文章要努力，但是不要急！今天的这篇文章《Java序列化与反序列化机制解析》将会介绍到等等知识点，如果你想深入学习文章，可以关注我！我会持续更新相关文章的，希望对大家都能有所帮助！

Java反序列化漏洞可通过避免使用原生机制、采用替代框架、限制类白名单等措施防范。1.优先避免Java原生序列化，改用JSON、Protocol Buffers等安全框架；2.若必须使用，可通过自定义ObjectInputStream实现白名单校验；3.使用安全库、校验输入流哈希、禁用危险类并升级Java版本；4.性能优化方面，选择高效框架、减少对象体积、使用缓存；5.自定义writeObject/readObject方法控制序列化逻辑，保护敏感数据。

Java中序列化与反序列化的机制与安全问题

Java序列化与反序列化，简单来说，就是把Java对象转换成字节流，以及把字节流还原成Java对象的过程。这听起来很方便，但如果不注意，会带来严重的安全问题。

序列化与反序列化在Java中，主要用于持久化对象，比如保存到文件或者通过网络传输。java.io.Serializable接口是实现序列化的关键。一个类实现了这个接口，它的对象就可以被序列化。

序列化：使用ObjectOutputStream将对象写入流。反序列化：使用ObjectInputStream从流中读取对象。

如何避免Java反序列化漏洞？

最直接的方法，也是最推荐的方法，就是尽量避免使用Java自带的序列化机制。如果实在需要，可以考虑使用其他序列化框架，比如JSON、Protocol Buffers等。这些框架通常更安全，而且性能更好。

如果必须使用Java序列化，那么就要采取一些措施来降低风险。

限制反序列化的类： 使用白名单机制，只允许反序列化特定的类。可以通过自定义ObjectInputStream来实现，覆盖resolveClass方法，检查要反序列化的类是否在白名单中。

import java.io.*;

public class SafeObjectInputStream extends ObjectInputStream {

    private static final String[] ALLOWED_CLASSES = {
        "com.example.MyClass",
        "java.lang.String",
        "java.util.ArrayList"
    };

    public SafeObjectInputStream(InputStream in) throws IOException {
        super(in);
    }

    @Override
    protected Class resolveClass(ObjectStreamClass desc) throws IOException, ClassNotFoundException {
        String name = desc.getName();
        for (String allowedClass : ALLOWED_CLASSES) {
            if (allowedClass.equals(name)) {
                return super.resolveClass(desc);
            }
        }
        throw new ClassNotFoundException("Unauthorized class: " + name);
    }
}

使用示例：

try (SafeObjectInputStream ois = new SafeObjectInputStream(new FileInputStream("data.ser"))) {
    Object obj = ois.readObject();
    // ...
} catch (IOException | ClassNotFoundException e) {
    e.printStackTrace();
}

使用安全的反序列化库： 某些库提供了更安全的序列化/反序列化机制，可以防止一些常见的攻击。
校验输入流： 在反序列化之前，对输入流进行校验，确保数据的完整性和来源的可靠性。可以计算输入流的哈希值，并与预期的哈希值进行比较。
禁用危险类： 某些类，比如java.rmi.server.UnicastRemoteObject，由于其特性，更容易被利用进行攻击。应该尽量避免反序列化这些类。
升级Java版本： 新版本的Java通常会修复一些已知的反序列化漏洞。

序列化对性能有什么影响？

序列化和反序列化都会带来性能开销。对象越大，结构越复杂，序列化和反序列化的时间就越长。

CPU消耗： 序列化和反序列化需要大量的CPU计算，特别是对于复杂的对象图。
内存消耗： 序列化会创建对象的副本，需要额外的内存空间。反序列化也需要分配内存来创建新的对象。
网络带宽： 如果通过网络传输序列化后的数据，会占用网络带宽。

为了提高性能，可以考虑以下几点：

选择合适的序列化框架： 不同的序列化框架性能差异很大。Protocol Buffers通常比Java自带的序列化更快，而且生成的数据更小。
减少序列化的对象大小： 只序列化必要的字段。可以使用transient关键字来排除不需要序列化的字段。
使用缓存： 如果需要频繁地序列化和反序列化同一个对象，可以使用缓存来减少计算量。

如何自定义序列化过程？

Java提供了writeObject和readObject方法，允许开发者自定义序列化和反序列化的过程。这可以用来控制哪些字段被序列化，以及如何序列化。

import java.io.*;

public class MyClass implements Serializable {

    private String name;
    private int age;
    private transient String secret; // 不会被序列化

    public MyClass(String name, int age, String secret) {
        this.name = name;
        this.age = age;
        this.secret = secret;
    }

    private void writeObject(ObjectOutputStream out) throws IOException {
        // 自定义序列化逻辑
        out.defaultWriteObject(); // 先序列化默认字段
        out.writeObject(encrypt(secret)); // 加密secret字段
    }

    private void readObject(ObjectInputStream in) throws IOException, ClassNotFoundException {
        // 自定义反序列化逻辑
        in.defaultReadObject(); // 先反序列化默认字段
        secret = decrypt((String) in.readObject()); // 解密secret字段
    }

    private String encrypt(String data) {
        // 简单的加密算法
        return new StringBuilder(data).reverse().toString();
    }

    private String decrypt(String data) {
        // 简单的解密算法
        return new StringBuilder(data).reverse().toString();
    }

    // getters and setters
}

在这个例子中，secret字段被标记为transient，不会被默认的序列化机制序列化。writeObject方法首先序列化默认字段，然后加密secret字段并写入流。readObject方法首先反序列化默认字段，然后从流中读取加密的secret字段并解密。

自定义序列化过程可以用来保护敏感数据，或者优化序列化性能。但需要注意的是，自定义序列化逻辑必须正确实现，否则可能会导致数据丢失或者安全问题。

总之，Java序列化和反序列化是一个强大的工具，但需要谨慎使用。了解其背后的机制和潜在的安全问题，采取适当的措施来降低风险，才能更好地利用它。

到这里，我们也就讲完了《Java序列化反序列化原理详解》的内容了。个人认为，基础知识的学习和巩固，是为了更好的将其运用到项目中，欢迎关注golang学习网公众号，带你了解更多关于java,序列化的知识点！

java 序列化