Java 反序列化

藤原千花的败北

已于 2025-05-11 20:18:02 修改

阅读量895

点赞数 23

CC 4.0 BY-SA版权

分类专栏：网络安全文章标签： java 网络安全

于 2025-05-03 23:55:21 首次发布

本文链接：https://blog.youkuaiyun.com/weixin_45626840/article/details/147659015

网络安全专栏收录该内容

10 篇文章

订阅专栏

文章目录

1. 序列化与反序列化
2. Java原生序列化与反序列化
- 2.1 Java原生方法调用链
- 2.2 自定义writeObject()和readObject()
3. 参考

1. 序列化与反序列化

面向对象的世界中，数据封装为类的属性，对数据进行处理的算法或者说逻辑封装为类的方法，程序的结构就是对象的调用。我们面向对象开发，当然希望对象可以复用，所以需要传输或存储对象。
在这里插入图片描述

程序运行后是存放在内存中的，我们在源代码中new Student("mingsec",7)，这个类及对象是JVM在负责管理，其在内存中的物理结构可能是散乱在各个物理地址空间的01比特流，也可能是一段连续的地址空间。JVM抽象了底层的一切，使Java程序员可以以“面向对象”这种逻辑视图进行程序开发。

要想将内存中的一个对象发送给另一台机器上的JVM进程使用，就需要足够的信息：

对象的类型（是什么类）
对象的状态（属性的值）
附加信息

那么，我们就需要定义一个数据格式，规定提取出来的对象数据是怎样组织的。与之相对应我们需要两个程序：

读取类元数据、内存中的对象状态等信息，输出一个规范格式字节流/字符流（序列化）
读取一个规范格式的字节流/字符流，解析输出一个对象（反序列化）

这是一个很自然而然的过程。我们在本地创建对象，首先需要有一个类，然后通过new关键字调用构造方法给对象赋值。将一个对象序列化，就需要告诉对方类名以及属性的值，对方就可以通过读取类名加载类并创建对象，读取属性值并给创建的对象赋值。

2. Java原生序列化与反序列化

学习过PHP的应该知道，PHP中的序列化是将对象组织为一个字符流，即一个字符串。在Java原生提供的序列化中，输出的是一个字节流，即一个byte[]数组或者二进制数据文件。

关于Java中序列化的格式规范，官方文档给出了详细说明，也在相应的类中定义了格式标记位。想要深入了解规范，追着AI问或者自行阅读官方文档。

Java中的对象想要支持序列化，其类需要实现Serialiable接口。这个接口只起到标记作用，告诉JVM该类的对象是可序列化的。实现序列化和反序列化的功能分别由java.base模块（jdk9+）里的java.io包下的ObjectOutputStream的writeObject()方法和ObjectInputStream的readObject()方法提供，下图给出一个序列化的demo.
在这里插入图片描述

Java序列化的数据以标记AC ED 00 05开头，base64编码的特征为rO0AB。我们看一下官方文档协议格式定义给的类源码：
在这里插入图片描述

2.1 Java原生方法调用链

序列化主要方法调用链（Java 层面 → JVM 本地方法）：

ObjectOutputStream.writeObject(Object obj)
  → writeObject0(Object obj, boolean unshared)
    → writeOrdinaryObject(Object obj, ObjectStreamClass desc, boolean unshared)
      → writeSerialData(Object obj, ObjectStreamClass desc)
        → DataOutputStream.writeInt(int val)
          → JVM_WriteInt (C/C++ 实现) // 本地方法写入基本类型

反序列化主要方法调用链（Java 层面 → JVM 本地方法）：

ObjectInputStream.readObject()
  → readObject0(boolean unshared)
    → readOrdinaryObject(boolean unshared)
      → ObjectStreamClass.newInstance() 
        → JVM_NewInstanceFromConstructor (C/C++ 实现) // 本地方法创建对象
      → readSerialData(Object obj, ObjectStreamClass desc)
        → Field.set(Object obj, Object value) 
          → JVM_SetField (C/C++ 实现) // 本地方法设置字段值

2.2 自定义writeObject()和readObject()

Java支持在类中自定义 readObject 和 writeObject，允许开发者细粒度控制序列化和反序列化过程。

为什么自定义的 readObject() 或writeObject() 方法会被调用？

Java 序列化机制的约定
Java 的序列化机制在反序列化时，会检查目标类是否定义了以下方法：

private void readObject(ObjectInputStream in) throws IOException, ClassNotFoundException

如果该方法存在，Java 会通过反射机制调用该方法，而不是使用默认的反序列化逻辑。这是 Java 序列化机制的一个约定，用于支持类级别的自定义反序列化逻辑。

反射机制的调用
Java 的 ObjectInputStream 在反序列化一个对象时，会执行以下步骤：
- 检查目标类是否有自定义的 readObject() 方法。
- 如果有，通过反射调用该方法。
- 如果没有，则使用默认的反序列化逻辑（即逐个读取字段值并赋值给对象）。

这种机制是通过 ObjectStreamClass 类实现的。ObjectStreamClass 会缓存类的序列化方法信息，并在反序列化时调用相应的 invokeReadObject() 方法。

3. 参考

[1] Java序列化格式详解
[2] 官方文档：Java Object Serialization Specification
[3] Java安全小白的入门心得 - java反序列化
[4] 通义qwen3
[5] deepseek