Java反序列化详解（从零开始掌握Java对象反序列化技术）

为什么需要反序列化？

当你需要在不同JVM之间传递对象，或者将对象状态保存下来以便后续恢复时，就必须用到反序列化。例如：

• Web应用中Session的持久化
• RMI（远程方法调用）通信
• 缓存系统中对象的存储与读取

实现Java对象反序列化的步骤

要使一个Java类支持序列化与反序列化，必须满足以下条件：

1. 类必须实现 java.io.Serializable 接口
2. 建议显式定义 serialVersionUID 字段，以确保版本兼容性

1. 定义可序列化的类

import java.io.Serializable;public class Person implements Serializable {    private static final long serialVersionUID = 1L;        private String name;    private int age;        public Person(String name, int age) {        this.name = name;        this.age = age;    }        // Getter 和 Setter 方法    public String getName() { return name; }    public void setName(String name) { this.name = name; }    public int getAge() { return age; }    public void setAge(int age) { this.age = age; }        @Override    public String toString() {        return "Person{name='" + name + "', age=" + age + "}";    }}  

2. 序列化对象到文件

import java.io.FileOutputStream;import java.io.ObjectOutputStream;public class SerializeExample {    public static void main(String[] args) {        Person person = new Person("张三", 25);                try (FileOutputStream fileOut = new FileOutputStream("person.ser");             ObjectOutputStream out = new ObjectOutputStream(fileOut)) {                        out.writeObject(person);            System.out.println("对象已成功序列化到 person.ser 文件！");                    } catch (Exception e) {            e.printStackTrace();        }    }}  

3. 反序列化对象（重点！）

import java.io.FileInputStream;import java.io.ObjectInputStream;public class DeserializeExample {    public static void main(String[] args) {        Person person = null;                try (FileInputStream fileIn = new FileInputStream("person.ser");             ObjectInputStream in = new ObjectInputStream(fileIn)) {                        person = (Person) in.readObject();            System.out.println("反序列化成功：" + person);                    } catch (Exception e) {            e.printStackTrace();        }    }}  

关于Java反序列化漏洞的安全提示

需要注意的是，Java反序列化漏洞是近年来常见的安全风险之一。攻击者可能通过构造恶意字节流，在反序列化过程中执行任意代码。

安全建议：

• 永远不要反序列化来自不可信来源的数据
• 使用 readObject() 时进行输入验证
• 考虑使用更安全的替代方案，如JSON、XML等文本格式
• 升级到最新JDK版本，利用内置的安全机制（如ObjectInputFilter）

总结

通过本教程，你已经掌握了Java对象反序列化的基本原理和实现方法。记住：序列化让对象“可存储”，反序列化让对象“复活”。但在实际项目中，务必关注安全性，避免因不当使用反序列化而引入严重漏洞。

希望这篇教程能帮助你轻松入门Java反序列化技术！