关于序列化Serializable的几点思考

序列化----Serializable---是将对象转换成二进制数据保存到本地磁盘或者通过网络进行传输,这个大家都知道。

一个对象在序列化是包括两部分:

1、类描述信息,包括包路径、继承关系、访问权限控制、变量描述、方法参数及返回值,但是不记录方法、构造、静态变量的具体实现;

2、非瞬态(transient关键字)和非静态(static关键字)的变量。

关于transient,http://blog.youkuaiyun.com/chmingyuan/article/details/51252416

首先有几个问题,不知你是否也思考过,当我们的一个javabean实现了serializable接口后,IDE会提示没有声明serial versionID

1、为什么对象在序列化时要显式声明一个serial versionID?

2、对象序列化后,再反序列化时,对象的属性值是否可以修改?


第一个问题:

SerialVersionUID也叫做流标识符,描述的是类的版本定义,如果我们不显式的声明,编译器会在编译的时候自动生成,生成是根据包名、类名、继承关系、非私有的方法和属性及参数、返回值等计算出来的,基本上保证了其唯一性。

SerialVersionUID的作用呢,JVM在反序列化时,会比较数据流中的SerialVersionUID与类中的SerialVersionUID是否相同,如果相同,则认为类没有发生改变,可以把数据流反序列化为对象;如果不相同,则会抛出异常。

下面用代码说明

	public static void main(String[] args) {
		Person person=new Person();
		person.setName("张三丰");
		SerializableUtils.writeObject(person);
	}

现在有一个普通的类,且没有显式声明SerialVersionUID

class Person implements Serializable{
	private String name;
	public String getName() {
		return name;
	}
	public void setName(String name) {
		this.name = name;
	}
}

这里写了一个工具

class SerializableUtils{
	private static final String FILE_NAME="d:/test.txt";
	//序列化
	public static void writeObject(Serializable seria){
		try {
			ObjectOutputStream out=new ObjectOutputStream(new FileOutputStream(FILE_NAME));
			out.writeObject(seria);
			out.close();
		} catch (Exception e) {
			e.printStackTrace();
		}
	}
	
	//反序列化
	public static Object readObject(){
		Object obj=null;
		try {
			ObjectInputStream in=new ObjectInputStream(new FileInputStream(FILE_NAME));
			obj = in.readObject();
			in.close();
		} catch (Exception e) {
			e.printStackTrace();
		}
		return obj;
	}
}
此时序列化,反序列化都是没有问题的。但在在分布式应用中随时都有可能出现新增属性的情况,例如我这里要给Persong对象新增一个age属性,但是对象已经序列化在网络中传输了,此时如果将数据流反序列化,会抛出异常

class Person implements Serializable{
	private String name;
	private int age;
反序列化:
	Person obj = (Person)SerializableUtils.readObject();
	System.out.println(obj);


java.io.InvalidClassException: serializable.Person; local class incompatible: stream classdesc serialVersionUID = 4178445814915777397, local class serialVersionUID = 5875760287446429789
因为本地的类发生了变化,类的版本对应不上了,但是我们可以通过显式的声明类的版本serialVersionUID,告诉JVM我的类没有发生变化,反序列时便不会再抛出异常。


<think>好的,我需要回答用户关于序列化过程中权限修饰的原则和最佳实践的问题。首先,我需要明确用户的问题核心:在序列化时,如何正确使用权限修饰符(如private、public等),以及有哪些最佳实践和原则需要遵循。 首先,我应该回顾一下Java中的序列化机制。序列化是将对象的状态转换为字节流的过程,以便存储或传输。反序列化则是将字节流恢复为对象。在这个过程中,对象的字段会被写入或读取。权限修饰符(如private、protected、public和默认的包级私有)会影响这些字段的访问权限,从而影响序列化的行为。 接下来,我需要考虑权限修饰符在序列化中的具体影响。例如,如果一个字段被声明为transient,那么它不会被序列化,无论其访问权限如何。这可能与用户的问题相关,但用户主要关注的是权限修饰符本身,而不仅仅是transient关键字。不过,根据提供的引用[1],transient用于减少序列化对象的大小,这一点可以作为补充信息。 然后,我需要结合引用[2]中提到的修饰符的正确使用,强调权限修饰符如何影响代码的健壮性和可维护性。例如,将字段声明为private并通过getter和setter方法访问,这符合封装原则,但在序列化时,如果使用默认的序列化机制,private字段仍然会被序列化。因此,需要明确权限修饰符本身并不直接影响序列化,除非结合transient或其他机制。 接下来,我需要整理出几个关键点作为最佳实践。例如,敏感字段应使用private和transient组合,或者通过自定义序列化方法(如writeObject和readObject)来控制哪些字段被序列化。此外,引用[4]提到PHP中的魔术方法如__sleep()和__wakeup(),虽然用户的问题是关于Java的,但可以类比说明自定义序列化的重要性。 还需要考虑安全性和性能。根据引用[1],减少序列化对象的大小可以提高性能,因此应避免序列化不必要的字段,这可能涉及到使用private修饰符并结合transient。此外,引用[3]提到的G1垃圾收集器优化内存管理,虽然与序列化无直接关系,但可以间接提醒在序列化时注意内存效率。 然后,我需要确保回答符合用户的要求:结构清晰,分步骤解释,引用相关文献。例如,在讨论每个原则时,引用相关的引用内容,如引用[2]关于修饰符的正确使用,引用[1]关于transient的作用。 可能还需要注意权限修饰符与继承的关系。例如,子类继承父类时,父类的private字段不会被序列化,除非子类显式处理。这可能需要通过自定义序列化方法来实现,如覆盖writeObject和readObject。 最后,总结最佳实践,包括最小化序列化字段、使用transient、自定义序列化方法、保持兼容性、遵循封装原则等。同时,确保每个建议都有相应的引用支持,如引用[1]、[2]、[4]等。 现在需要将这些思考整理成一个结构化的回答,分点列出原则和最佳实践,并在适当的地方添加引用标记。同时,生成相关问题,引导用户进一步学习。</think>### 序列化过程中权限修饰的原则与最佳实践 在序列化过程中,权限修饰符(如 `private`、`public`)的选择直接影响数据的安全性、封装性和序列化效率。以下是核心原则及实践建议: --- #### **一、权限修饰符的核心原则** 1. **最小化序列化字段** 仅序列化必要的字段,敏感数据(如密码、密钥)应声明为 `private` 并结合 `transient` 关键字避免被序列化[^1]。例如: ```java private transient String password; // 不会被序列化 ``` 2. **遵循封装原则** 即使字段被序列化,也应通过 `private` 修饰符限制直接访问,并通过 `public` 方法(如 `getter/setter`)控制读写逻辑[^2]。例如: ```java private String userId; // 封装字段 public String getUserId() { return this.userId; } // 受控访问 ``` 3. **自定义序列化方法** 通过实现 `writeObject()` 和 `readObject()` 方法,手动控制序列化过程,灵活处理权限与数据格式[^4]。例如: ```java private void writeObject(ObjectOutputStream oos) throws IOException { oos.defaultWriteObject(); // 默认序列化 oos.writeUTF(encrypt(password)); // 加密敏感字段后序列化 } ``` --- #### **二、最佳实践** 1. **使用 `transient` 标记非持久化字段** 明确哪些字段无需序列化,减少数据大小并提升性能。例如: ```java private transient Session session; // 会话对象无需持久化 ``` 2. **避免序列化派生数据** 通过 `transient` 或动态计算避免存储冗余数据。例如缓存字段: ```java private transient int cachedHash; // 哈希值可实时计算,无需序列化 ``` 3. **版本兼容性控制** 使用 `serialVersionUID` 显式声明版本号,避免因类结构变更导致反序列化失败: ```java private static final long serialVersionUID = 1L; // 明确版本 ``` 4. **接口与抽象类的处理** 若父类未实现 `Serializable`,子类需自行处理序列化逻辑,或重新设计继承关系[^5]。 --- #### **三、示例代码** ```java public class User implements Serializable { private static final long serialVersionUID = 1L; private String username; private transient String password; // 敏感字段不序列化 // 自定义序列化逻辑 private void writeObject(ObjectOutputStream oos) throws IOException { oos.defaultWriteObject(); oos.writeObject(encrypt(password)); // 加密后存储 } private void readObject(ObjectInputStream ois) throws ClassNotFoundException, IOException { ois.defaultReadObject(); this.password = decrypt((String) ois.readObject()); // 解密 } } ``` --- ### 相关问题 1. 如何通过 `transient` 关键字优化序列化性能? 2. 为什么在序列化中需要显式定义 `serialVersionUID`?[^2] 3. 如何通过自定义序列化方法增强数据安全性?[^4] 4. 序列化与反序列化过程中可能遇到哪些兼容性问题? 5. 如何结合权限修饰符和设计模式(如代理模式)控制序列化行为? --- 通过合理选择权限修饰符并遵循上述原则,可以在保证数据安全性的同时,提升序列化效率和代码可维护性。
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值