Java安全基础之Java序列化与反序列化

目次

• ObjectInputStream 和 ObjectOutputStream
  
• java.io.Serializable
  
• 自定义序列化和反序列化
  

Java 的序列化（Serialization）是指将对象转换为字节序列的过程，而反序列化（Deserialization）则是将字节序列转换回对象的过程。
序列化和反序列化通常用于在网络上传输对象或者将对象持久化到文件体系中。
Java 提供了 java.io.Serializable 接口来支持对象的序列化和反序列化。如果一个类实现了 Serializable 接口，那么该类的对象就可以被序列化和反序列化。
ObjectInputStream 和 ObjectOutputStream

ObjectInputStream 和 ObjectOutputStream 是 Java 中用于序列化和反序列化对象的类，它们提供了将对象转换为字节省并将字节省转换回对象的功能。

• ObjectOutputStream：用于将对象序列化为字节省，依赖于 writeObject() 方法。
  
• ObjectInputStream：用于从字节省反序列化对象，依赖于 readObject() 方法。
  

1. try (ObjectOutputStream out = new ObjectOutputStream(new FileOutputStream("data.ser"))) {
2.     // 写入对象到文件
3.     out.writeObject(myObject);
4. } catch (IOException e) {
5.     e.printStackTrace();
6. }
8. try (ObjectInputStream in = new ObjectInputStream(new FileInputStream("data.ser"))) {
9.     // 从文件中读取对象
10.     MyObject myObject = (MyObject) in.readObject();
11. } catch (IOException | ClassNotFoundException e) {
12.     e.printStackTrace();
13. }

复制代码

java.io.Serializable

Serializable 这个接口本身并不包含任何方法，它只是一个空接口，其作用是告诉 Java 编译器，这个类的对象可以被序列化成字节省，也可以从字节省中反序列化成对象。
利用文件流进行序列化: 将对象序列化到文件中，利用 FileOutputStream 和 FileInputStream 进行读写操纵。

1. import java.io.*;
3. public class SerializationExample {
4.     public static void main(String[] args) {
5.         try {
6.             String obj = "serialization example";
8.             // 序列化对象到文件
9.             FileOutputStream fos = new FileOutputStream("object.ser");
10.             ObjectOutputStream os = new ObjectOutputStream(fos);
11.             os.writeObject(obj);
12.             os.close();
14.             //反序列化对象到文件
15.             FileInputStream fis = new FileInputStream("object.ser");
16.             ObjectInputStream ois = new ObjectInputStream(fis);
17.             String dobj = (String)ois.readObject();
18.             System.out.print(dobj);
19.             ois.close();
21.         } catch (IOException | ClassNotFoundException e) {
22.             throw new RuntimeException(e);
23.         }
24.     }
25. }

复制代码

利用字节数组进行序列化: 还可以利用 ByteArrayOutputStream 将对象序列化到字节数组中。

1. import java.io.*;
3. public class SerializationExample {
4.     public static void main(String[] args) {
5.         try {
6.             String obj = "serialization example";
8.             // 序列化对象到字节数组
9.             ByteArrayOutputStream byteArrayOutputStream = new ByteArrayOutputStream();
10.             ObjectOutputStream os = new ObjectOutputStream(byteArrayOutputStream);
11.             os.writeObject(obj);
12.             os.close();
14.             // 从字节数组反序列化对象
15.             byte[] byteArray = byteArrayOutputStream.toByteArray();
16.             ByteArrayInputStream byteArrayInputStream = new ByteArrayInputStream(byteArray);
17.             ObjectInputStream ois = new ObjectInputStream(byteArrayInputStream);
18.             String dobj = (String) ois.readObject();
19.             System.out.print(dobj);
20.             ois.close();
22.         } catch (IOException | ClassNotFoundException e) {
23.             throw new RuntimeException(e);
24.         }
25.     }
26. }

复制代码

除了可以将对象序列化到文件流和字节数组，还可以将对象序列化到网络流、缓存流等。除了 Java 原生的序列化方式外，还有一些第三方库可以进行对象的序列化，例如 JSON 序列化或者 XML 序列。
自定义序列化和反序列化

在 Java 中，可以通过实现 writeObject() 和 readObject() 方法来自定义序列化和反序列化过程，可以更灵活地控制对象在序列化和反序列化过程中的行为。

• 自定义序列化：private void writeObject(ObjectOutputStream oos)
  
• 自定义反序列化：private void readObject(ObjectInputStream ois)
  

例如：Person 类实现了 Serializable 接口

1. class Person implements Serializable {
2.     private String name;
3.     private transient int age; // transient 表示该字段不参与序列化
5.     public Person(String name, int age) {
6.         this.name = name;
7.         this.age = age;
8.     }
10.     // 自定义序列化方法
11.     private void writeObject(ObjectOutputStream out) throws IOException {
12.         out.defaultWriteObject(); // 默认序列化其他字段
13.         // 手动序列化 age 字段
14.         out.writeInt(age);
15.     }
17.     // 自定义反序列化方法
18.     private void readObject(ObjectInputStream in) throws IOException, ClassNotFoundException {
19.         in.defaultReadObject(); // 默认反序列化其他字段
20.         // 手动反序列化 age 字段
21.         age = in.readInt();
22.     }
23. }

复制代码

在待序列化或反序列化的类中定义 readObject 和 writeObject 方法，就来实现了自定义的序列化和反序列化操纵。
若有错误，接待指正！o(￣▽￣)ブ

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。