java-序列化与反序列化

序列化和反序列化的概念

序列化：把java对象转换为字节序列的过程称为对象的序列化,这些字节序列可以被保存在磁盘上或通过网络传输，以备以后重新恢复原来的对象
反序列化：把字节序列恢复为对象的过程称为对象的反序列化。序列化机制使得对象可以脱离程序的运行而独立存在

序列化的功能/用途

持久化对象：Java平台允许我们在内存中创建可复用的Java对象，但一般情况下，只有当JVM处于运行时，这些对象才可能存在，即，
这些对象的生命周期不会比JVM的生命周期更长。但在现实应用中，就可能要求在JVM停止运行之后能够保存(持久化)指定的对象，并在将来重新读取被保存的对象。把对象的字节序列永久地保存到硬盘上，通常存放在一个文件中，以此实现该功能。java中的对象的内部状态只保存在内存中，其生命周期最长与JVM的生命周期一样，即JVM停止之后，所有对象都会被销毁。
网络传输：在网络上传送对象的字节序列。

实际应用

在很多应用中，需要对某些对象进行序列化，让它们离开内存空间，入住物理硬盘，以便长期保存。比如最常见的是Web服务器中的Session对象，当有 10万用户并发访问，就有可能出现10万个Session对象，内存可能吃不消，于是Web容器就会把一些seesion先序列化到硬盘中，等要用了，再把保存在硬盘中的对象还原到内存中。
当两个进程在进行远程通信时，彼此可以发送各种类型的数据。无论是何种类型的数据，都会以二进制序列的形式在网络上传送。发送方需要把这个Java对象转换为字节序列，才能在网络上传送；接收方则需要把字节序列再恢复为Java对象。

实现

java.io.Serializable接口，那么它就可以被序列化
Externalizable：
Serializable接口
· 优点：内建支持
· 优点：易于实现
· 缺点：占用空间过大
· 缺点：由于额外的开销导致速度变比较慢
Externalizable接口
· 优点：开销较少（程序员决定存储什么）
· 优点：可能的速度提升
· 缺点：虚拟机不提供任何帮助，也就是说所有的工作都落到了开发人员的肩上。
在两者之间如何选择要根据应用程序的需求来定。Serializable通常是最简单的解决方案，但是它可能会导致出现不可接受的性能问题或空间问题；在出现这些问题的情况下，Externalizable可能是一条可行之路。

JDK类库中的序列化API

java.io.ObjectOutputStream代表对象输出流，它的writeObject(Object obj)方法可对参数指定的obj对象进行序列化，把得到的字节序列写到一个目标输出流中。
java.io.ObjectInputStream代表对象输入流，它的readObject()方法从一个源输入流中读取字节序列，再把它们反序列化为一个对象，并将其返回。

序列化与反序列化的编程实现

实现序列化接口的类

public class Person implements Serializable{
    private static final long serialVersionUID = -1015228989208411177L;
    private String name;   
        private  int age;  
    public Person(String name, int age) {    
        this.name = name;   
        this.age = age;   
    }   
    public String getName() {   
        return name;   
    }   
    public void setName(String name) {   
        this.name = name;   
    }      
    public int getAge() {   
        return age;   
    }      
    public void setAge(int age) {   
        this.age = age;   
    }   
}

序列化过程

public class WriteObject {
    public static void main(String[] args) {
        ObjectOutputStream oos = null;   
        try {   
            //1.创建一个ObjectOutputStream   
            oos = new ObjectOutputStream(new FileOutputStream("/home/sunyan/object.txt"));   
            Person per = new Person("孙悟空", 500);  
            //2.将per对象写入输入流   
            oos.writeObject(per); 
        } catch (FileNotFoundException e) {   
             e.printStackTrace();   
        } catch (IOException e) {   
             e.printStackTrace();   
        }finally{   
            try {   
                if(oos != null){   
                    oos.close();   
                }   
            } catch (IOException e) {   
                 e.printStackTrace();   
            }   
        }   
    }
}

反序列化

public class ReadObject {
    public static void main(String[] args) {
        ObjectInputStream ois = null;              
        try {   
            //1.创建一个ObjectInputStream输入流   
           ois = new ObjectInputStream(new FileInputStream("/home/sunyan/object.txt"));   
            //2.从输入流中读取一个Java对象，并将其强制类型转换为Person对象   
            Person p = (Person) ois.readObject();
            System.out.println("名字为：" + p1.getName() + "\n年龄为：" + p1.getAge());
        } catch (FileNotFoundException e) {   
            e.printStackTrace();   
        } catch (IOException e) {   
            e.printStackTrace();   
        } catch (ClassNotFoundException e) {   
            e.printStackTrace();   
        }finally{   
            try {   
                if (ois == null) {   
                     ois.close();   
                }   
            } catch (IOException e) {   
                e.printStackTrace();   
            }   
        }   
    }
}

执行结果:

如果我们向文件中使用序列化机制写入了多个Java对象，使用反序列化机制恢复对象必须按照实际写入的顺序读取。
序列化

 Person per1 = new Person("孙悟空", 500);  
 Person per2 = new Person("孙小妹", 50); 
oos.writeObject(per1); 
 oos.writeObject(per2);

反序列化

Person p1 = (Person) ois.readObject();
Person p2 = (Person) ois.readObject();   
System.out.println("名字为：" + p1.getName() + "\n年龄为：" + p1.getAge());
System.out.println("名字为：" + p2.getName() + "\n年龄为：" + p2.getAge());

执行结果

对象引用的序列化
如果类的属性不是基本类型或者String类型，而是另一个引用类型，那么这个引用类型必须是可序列化的，否则该类也是不可序列化的，即使该类实现了Serializable，Externalizable接口。

public class Teacher implements Serializable{
    private String name;   
    //类的属性是引用类型，也必须序列化。   
    //如果Person是不可序列化的，无论Teacher实现Serializable,Externalizable接口，则Teacher   
    //都是不可序列化的。   
    private Person student;   
    public Teacher(String name, Person student) {   
        super();   
        this.name = name;   
        this.student = student;   
    }   
    public String getName() {   
         return name;   
    }    
    public void setName(String name) {   
         this.name = name;   
    }      
    public Person getStudent() {   
         return student;   
    }    
    public void setStudent(Person student) {   
        this.student = student;   
    }   
}

上述代码中，Teacher中有一个引用类型student,若Person未实现接口Serializable。即

public class Person implements Serializable{
}

则在序列化过程中，会报错

Transient 关键字的作用是控制变量的序列化，在变量声明前加上该关键字，可以阻止该变量被序列化到文件中，在被反序列化后，transient 变量的值被设为初始值，如 int 型的是 0，对象型的是 null。
在Person中更改如下代码

private  transient int age;

此时1中的代码，经序列化和反序列化后，执行结果如下

serialVersionUID
serialVersionUID: 字面意思上是序列化的版本号，凡是实现Serializable接口的类都有一个表示序列化版本标识符的静态变量。序列化 ID 是否一致，决定虚拟机是否允许反序列化。
实现Serializable接口的类如果类中没有添加serialVersionUID，那么就会出现如下的警告提示

serialVersionUID有两种生成方式：
采用 Add default serial version ID
这种方式生成的serialVersionUID是1L，例如：

 private static final long serialVersionUID = 1L;

采用 Add generated serial version ID这种方式生成的serialVersionUID是根据类名，接口名，方法和属性等来生成的，例如：

private static final long serialVersionUID = -1015228989208411177L;

对1中的代码序列化后，修改

private static final long serialVersionUID = -1015228989208411177L;

为

private static final long serialVersionUID = -1015228989208411178L;

此时，进行反序列化，会报错

反序列化漏洞危害

当应用代码从用户接受序列化数据，并试图反序列化改数据进行下一步处理时，会产生反序列化漏洞，其中最有危害性的就是远程代码注入。
这种漏洞产生原因是，java类ObjectInputStream在执行反序列化时，并不会对自身的输入进行检查，这就说明恶意攻击者可能也可以构建特定的输入，在 ObjectInputStream类反序列化之后会产生非正常结果，利用这一方法就可以实现远程执行任意代码。

最后再加一些相关知识点

1、声明为static和transient的成员数据不能被串行化，因为static代表类的状态,transient代表对象的临时数据。

2、要想将父类对象也序列化，就需要让父类也实现Serializable 接口。
3、服务器端给客户端发送序列化对象数据，对象中有一些数据是敏感的，比如密码字符串等，希望对该密码字段在序列化时，进行加密，而客户端如果拥有解密的密钥，只有在客户端进行反序列化时，才可以对密码进行读取，这样可以一定程度保证序列化对象的数据安全。