Java對象流用于序列化和反序列化，即將對象轉換為字節流以實現存儲或傳輸。1. 要實現序列化，類需實現serializable接口并建議顯式聲明serialversionuid；2. 使用Objectoutputstream將對象寫入輸出流完成序列化；3. 使用objectinputstream從輸入流讀取對象完成反序列化，需強制類型轉換并處理classnotfoundexception；4. transient關鍵字標記的字段不會被序列化，反序列化后值為默認值；5. 可通過自定義writeobject()和readobject()方法實現個性化序列化邏輯；6. 應用場景包括數據持久化、分布式系統通信、緩存及會話管理；7. 風險包括安全漏洞、性能消耗及版本兼容問題，應避免反序列化不可信數據并選擇高效框架以優化性能。
Java中對象流主要用于序列化和反序列化Java對象，簡單來說，就是把對象轉換成字節流，可以存儲到磁盤或者通過網絡傳輸，然后再把字節流轉換回對象。這在很多場景下都很有用，比如持久化數據，或者在分布式系統中傳遞對象。
序列化和反序列化。
如何實現Java對象的序列化？
要實現Java對象的序列化，首先需要讓你的類實現 java.io.Serializable 接口。這個接口是一個標記接口，沒有任何方法需要實現，它的作用僅僅是告訴jvm，這個類的對象是可以被序列化的。
立即學習“Java免費學習筆記（深入）”；
import java.io.Serializable; public class MyObject implements Serializable { private static final long serialVersionUID = 1L; // 建議顯示的聲明 serialVersionUID private String name; private int age; public MyObject(String name, int age) { this.name = name; this.age = age; } // getter 和 setter 方法 public String getName() { return name; } public void setName(String name) { this.name = name; } public int getAge() { return age; } public void setAge(int age) { this.age = age; } @Override public String toString() { return "MyObject{" + "name='" + name + ''' + ", age=" + age + '}'; } }
注意 serialVersionUID 的聲明。 serialVersionUID 是序列化版本號，用于在反序列化時驗證類的版本一致性。 如果類結構發生改變，但 serialVersionUID 沒有改變，反序列化可能會失敗。 建議顯式聲明，避免JVM自動生成帶來的潛在問題。
接下來，使用 ObjectOutputStream 將對象寫入到輸出流中：
import java.io.*; public class SerializationExample { public static void main(String[] args) { MyObject myObject = new MyObject("Alice", 30); try (FileOutputStream fileOutputStream = new FileOutputStream("myobject.ser"); ObjectOutputStream objectOutputStream = new ObjectOutputStream(fileOutputStream)) { objectOutputStream.writeObject(myObject); System.out.println("對象已序列化"); } catch (IOException e) { e.printStackTrace(); } } }
這里使用了try-with-resources語句，確保流在使用完畢后會被自動關閉。
如何反序列化Java對象？
反序列化就是將字節流轉換回對象。 使用 ObjectInputStream 從輸入流中讀取對象：
import java.io.*; public class DeserializationExample { public static void main(String[] args) { try (FileInputStream fileInputStream = new FileInputStream("myobject.ser"); ObjectInputStream objectInputStream = new ObjectInputStream(fileInputStream)) { MyObject myObject = (MyObject) objectInputStream.readObject(); System.out.println("對象已反序列化: " + myObject); } catch (IOException | ClassNotFoundException e) { e.printStackTrace(); } } }
注意， readObject() 方法返回的是 Object 類型，需要強制類型轉換成目標類型。 另外，還需要處理 ClassNotFoundException，因為反序列化時可能會找不到對應的類定義。
序列化時遇到 transient 關鍵字會發生什么？
如果在類的字段上使用了 transient 關鍵字，那么在序列化時，這個字段的值會被忽略。 也就是說，在反序列化后，這個字段的值會是默認值（例如，int 類型的默認值是0，String 類型的默認值是NULL）。
import java.io.Serializable; public class MyObjectWithTransient implements Serializable { private static final long serialVersionUID = 2L; private String name; private transient int age; // age 字段被標記為 transient public MyObjectWithTransient(String name, int age) { this.name = name; this.age = age; } public String getName() { return name; } public void setName(String name) { this.name = name; } public int getAge() { return age; } public void setAge(int age) { this.age = age; } @Override public String toString() { return "MyObjectWithTransient{" + "name='" + name + ''' + ", age=" + age + '}'; } }
在序列化和反序列化 MyObjectWithTransient 對象后，age 字段的值會變成0。 transient 關鍵字通常用于標記那些不應該被持久化或者不方便持久化的字段，例如密碼或者敏感信息。
如何自定義序列化和反序列化過程？
如果默認的序列化和反序列化過程不能滿足需求，可以自定義序列化和反序列化過程。 在類中實現 writeObject() 和 readObject() 方法，這兩個方法會在序列化和反序列化時被自動調用。
import java.io.*; public class MyObjectWithCustomSerialization implements Serializable { private static final long serialVersionUID = 3L; private String name; private int age; public MyObjectWithCustomSerialization(String name, int age) { this.name = name; this.age = age; } public String getName() { return name; } public void setName(String name) { this.name = name; } public int getAge() { return age; } public void setAge(int age) { this.age = age; } private void writeObject(ObjectOutputStream out) throws IOException { // 自定義序列化邏輯 out.writeObject("Custom: " + name); out.writeInt(age + 100); // 為了演示，將 age 加 100 } private void readObject(ObjectInputStream in) throws IOException, ClassNotFoundException { // 自定義反序列化邏輯 name = (String) in.readObject(); age = in.readInt() - 100; // 恢復 age 的原始值 } @Override public String toString() { return "MyObjectWithCustomSerialization{" + "name='" + name + ''' + ", age=" + age + '}'; } }
在 writeObject() 方法中，可以自定義序列化邏輯，例如加密敏感數據或者壓縮數據。 在 readObject() 方法中，需要按照 writeObject() 方法的順序讀取數據，并進行相應的處理。 需要注意的是，這兩個方法的簽名必須是 private，并且拋出 IOException 和 ClassNotFoundException 異常。
序列化在實際項目中有哪些應用場景？
序列化在實際項目中有很多應用場景：
- 持久化數據： 將對象存儲到磁盤或者數據庫中，以便以后使用。
- 分布式系統： 在不同的JVM之間傳遞對象，例如在rpc框架中。
- 緩存： 將對象存儲到緩存中，提高訪問速度。
- 會話管理： 在Web應用中，將用戶的會話信息存儲到服務器上。
例如，在spring Session中，可以使用序列化將用戶的會話信息存儲到redis或者其他存儲介質中，實現會話共享。 另外，在dubbo等RPC框架中，也需要使用序列化將請求和響應對象在不同的服務提供者和消費者之間傳遞。
序列化有哪些潛在的風險和注意事項？
序列化雖然很方便，但也存在一些潛在的風險和注意事項：
- 安全風險： 反序列化可能會導致安全漏洞，例如反序列化漏洞。 攻擊者可以構造惡意的序列化數據，利用反序列化過程執行任意代碼。 為了避免這種風險，應該盡量避免反序列化不受信任的數據，或者使用安全的序列化框架。
- 性能問題： 序列化和反序列化會消耗一定的CPU和內存資源。 對于大型對象或者高并發場景，可能會影響性能。 可以考慮使用更高效的序列化框架，例如Protobuf或者Kryo。
- 版本兼容性： 如果類的結構發生改變，可能會導致反序列化失敗。 應該盡量保持類的結構穩定，或者使用 serialVersionUID 來保證版本兼容性。
總的來說，Java對象流是處理對象序列化的重要工具，理解其使用方法和注意事項，可以幫助你更好地在實際項目中應用序列化技術。
