Java 物件序列化與反序列化深度解析：機制、陷阱與最佳實踐

物件序列化是 Java 分散式系統、快取、持久化的基石，但預設機制暗藏效能、安全、相容性風險。本文系統梳理序列化協議、Serializable/Externalizable 兩大介面、serialVersionUID 版本控制、自訂序列化策略、常見陷阱與現代替代方案。

核心概念：什麼是序列化？

• 序列化：將物件圖 (Object Graph) 轉為位元組流，用於網路傳輸、檔案持久化、進程間通訊 (IPC)。
• 反序列化：從位元組流重建物件圖，還原狀態。
• 核心類別：ObjectOutputStream.writeObject() / ObjectInputStream.readObject()。

三種序列化實作策略對比

策略	介面	特點	適用場景
預設序列化	implements Serializable	零代碼，JVM 自動遞歸序列化非 transient 欄位	簡單 DTO、內部快取、不跨版本部署
自訂序列化	implements Serializable + private writeObject/readObject	保留預設機制，可加密、壓縮、補欄位、驗證	需控制敏感欄位、處理版本演進、優化效能
完全控制	implements Externalizable	必須實作 writeExternal/readExternal，需 public 無參建構子	高效能、大物件圖、跨語言、特殊協定

關鍵技術細節

1. serialVersionUID：版本兼容的生命線

// 強烈建議顯式宣告，避免編譯器產生不穩定的隱式 UID
private static final long serialVersionUID = 1L;

• 反序列化時比對 UID，不一致拋 InvalidClassException。
• 隱式 UID 依賴類別結構 (欄位、方法、介面順序)，不同編譯器/JDK 版本可能不同 → 必須顯式宣告。
• 修改類別結構 (增欄位、改型別) 時，若邏輯相容，**不要變更 UID**；不相容才遞增 UID。

2. transient 與 static：不參與序列化的欄位

• transient：例項欄位，跳過序列化，反序列化後為預設值 (null/0/false)。
• static：類別欄位，屬於 Class 物件，不屬於例項，天然不序列化。

3. 自訂序列化模板 (最常用模式)

public class User implements Serializable {
    private static final long serialVersionUID = 1L;
    private String username;
    private transient String password; // 敏感欄位不落盤
    private transient String fullName; // 衍生欄位，反序列化後重算

    // 預設序列化輔助：先執行預設邏輯，再處理額外邏輯
    private void writeObject(ObjectOutputStream out) throws IOException {
        out.defaultWriteObject();
        // 可選：加密、寫入額外資料
        out.writeObject(encrypt(password));
    }

    private void readObject(ObjectInputStream in) throws IOException, ClassNotFoundException {
        in.defaultReadObject();
        // 還原 transient 欄位
        this.password = decrypt((String) in.readObject());
        this.fullName = username.toUpperCase(); // 衍生欄位重算
    }

    // 序列化代理模式：防止單例破壞、不可變物件被竄改
    private Object writeReplace() throws ObjectStreamException {
        return new SerializationProxy(this);
    }
    private void readObjectNoData() throws ObjectStreamException {
        throw new InvalidClassException("舊版本資料不相容");
    }
}

4. Externalizable 完全控制範例

public class BigData implements Externalizable {
    private static final long serialVersionUID = 1L;
    private List<Record> records = new ArrayList<>();

    public BigData() {} // 必須有 public 無參建構子

    @Override
    public void writeExternal(ObjectOutput out) throws IOException {
        out.writeInt(records.size());
        for (Record r : records) {
            out.writeUTF(r.getKey());
            out.writeLong(r.getValue());
        }
    }

    @Override
    public void readExternal(ObjectInput in) throws IOException, ClassNotFoundException {
        int size = in.readInt();
        records = new ArrayList<>(size);
        for (int i = 0; i < size; i++) {
            records.add(new Record(in.readUTF(), in.readLong()));
        }
    }
}

預設序列化的四大缺陷與應對

| 缺陷 | 風險 | 應對策略 | |------|------|----------| | 敏感資料外洩 | 密碼、Token 明文寫入檔案/網路 | transient + 自訂 writeObject 加密 | | 缺乏驗證 | 惡意資料導致不變量破壞、邏輯漏洞 | readObject 中驗證、拋 InvalidObjectException | | 物件圖過深導致 StackOverflow / OOM | 遞歸遍歷大圖消耗棧/堆 | 改用 Externalizable 迭代寫入、或改用 JSON/Protobuf | | 類別演進破壞二進制相容 | 新增欄位、修改型別導致反序列化失敗 | 穩定 serialVersionUID、提供 readObject 兼容舊版 |

現代替代方案：何時不該用 Java 原生序列化？

• 跨語言/微服務通訊：JSON (Jackson/Gson)、Protocol Buffers、Avro、MessagePack — 更小、更快、Schema 明確。
• 高效能快取：Kryo、FST、Protostuff — 序列化速度快 5-10 倍、體積小 50%+。
• 長期持久化：資料庫 (JPA/Hibernate)、Redis (RedisTemplate + Jackson)、檔案 (Parquet/ORC) — 可查詢、可演進。
• 安全敏感場景：嚴禁反序列化不可信資料 (CVE-2015-4852 等 Gadget Chain 攻擊)，改用安全框架 (如 ObjectInputFilter JDK 9+)。

安全防護：JDK 9+ ObjectInputFilter 範例

ObjectInputStream ois = new ObjectInputStream(inputStream) {
    @Override
    protected Class<?> resolveClass(ObjectStreamClass desc) throws IOException, ClassNotFoundException {
        // 僅允許自家包名
        if (!desc.getName().startsWith("com.mycompany.")) {
            throw new InvalidClassException("未授權的類別: " + desc.getName());
        }
        return super.resolveClass(desc);
    }
};
// 或使用全域 Filter (JDK 9+)
ObjectInputFilter.Config.setSerialFilter(info -> {
    if (info.serialClass() != null && !info.serialClass().getName().startsWith("com.mycompany.")) {
        return ObjectInputFilter.Status.REJECTED;
    }
    return ObjectInputFilter.Status.ALLOWED;
});

總結

Java 原生序列化雖然內建方便，但預設機制不安全、效能低、版本脆弱。生產環境請遵循：

1. **顯式宣告 serialVersionUID**。
2. **敏感欄位 transient + 自訂加密序列化**。
3. **實作 readObject 驗證不變量**。
4. **跨服務/持久化改用 JSON/Protobuf/Kryo**。
5. **啟用 ObjectInputFilter 防範反序列化攻擊**。

掌握這些核心原則，即能在享受序列化便利的同時，守住安全、效能與演進底線。