Pythonpickle序列化教程详解

golang学习网今天将给大家带来《Python序列化详解：pickle机制教程》，感兴趣的朋友请继续看下去吧！以下内容将会涉及到等等知识点，如果你是正在学习文章或者已经是大佬级别了，都非常欢迎也希望大家都能给我建议评论哈~希望能帮助到大家！

Pickle 是 Python 默认对象序列化工具，用于保存对象状态和重建逻辑，依赖解释器、类定义及代码版本，存在兼容性与安全风险；支持基本类型、顶层函数、类实例等，不支持文件对象、嵌套类等；可通过 __getstate__ 和 __setstate__ 控制序列化行为；协议版本 0–5 影响性能与兼容性；反序列化不受信任数据会导致 RCE，应优先选用 JSON、Protocol Buffers 等安全替代方案。

Pickle 是 Python 默认的对象序列化工具，它能把内存中的对象转换成字节流，便于存储或传输，之后还能原样还原。但它的核心不是“存数据”，而是“保存对象的状态和重建逻辑”——这意味着它依赖 Python 解释器、类定义、模块路径，甚至代码版本。用不好容易报错、不兼容、甚至有安全风险。

pickle 能序列化什么？哪些会失败？

支持的类型包括：基本数据类型（int/str/list/dict/tuple/set）、函数（仅限顶层定义的函数，不能是 lambda 或嵌套函数）、类实例（要求类在模块顶层且可被 import）、大多数内置类型（如 datetime、Decimal）。

常见失败情况：

• 文件对象、网络连接、数据库游标等系统资源类对象无法序列化
• 类定义不在模块顶层（比如在函数内定义的 class）会报 AttributeError: Can't pickle local object
• 使用了 C 扩展或自定义 __reduce__ 但返回非法格式时会出错
• 不同 Python 版本间默认协议不兼容（如 3.8 用 protocol=4 序列化的数据，3.7 可能无法加载）

如何控制序列化行为？\_\_getstate\_\_ 和 \_\_setstate\_\_ 是关键

默认情况下，pickle 会保存对象的整个 __dict__。如果想排除某些属性（比如临时缓存、打开的文件句柄），或需要自定义重建逻辑，就该重写这两个方法：

• __getstate__ 返回一个字典，表示“你想保存哪些状态”。可以删掉不可序列化的字段，或替换为可序列化的值
• __setstate__ 接收这个字典，在反序列化时手动恢复对象状态，比如重新打开资源、重建缓存

例如：

协议版本、性能与跨版本兼容性怎么选？

Pickle 协议从 0 到 5（Python 3.8+ 支持），数字越大功能越强、体积越小、速度越快，但也越不兼容旧版本：

• protocol=0：ASCII 文本格式，人类勉强可读，兼容性最好（2.x/3.x 都行），但慢且大
• protocol=2：Python 2.3+ 引入，支持新式类，推荐用于跨 Python 2/3 场景
• protocol=4：Python 3.4+ 默认，支持超长序列、复数类型优化，日常开发首选
• protocol=5：Python 3.8+ 新增，支持带外数据（out-of-band buffers），适合大数据量 + 零拷贝场景

显式指定协议更稳妥：pickle.dumps(obj, protocol=pickle.HIGHEST_PROTOCOL) 或固定值（如 4）。

为什么不要用 pickle 处理不受信任的数据？

pickle 在反序列化时会动态执行代码（如导入模块、调用 __reduce__ 返回的函数）。恶意构造的字节流可以触发任意命令执行，等同于远程代码执行（RCE）。

安全替代方案：

• 传数据用 JSON（需对象可转 dict）、msgpack（更紧凑）、toml/yaml（适合配置）
• 要保留类型信息且可信环境，可用 dill（支持更多对象，但同样不安全）
• 微服务通信优先用 Protocol Buffers 或 Apache Avro，语言中立、向后兼容

记住：pickle 是 Python 内部工具，不是通用数据交换格式。

文中关于的知识介绍，希望对你的学习有所帮助！若是受益匪浅，那就动动鼠标收藏这篇《Pythonpickle序列化教程详解》文章吧，也可关注golang学习网公众号了解相关技术文章。