首页 > 编程知识 正文

JAVA 序列化反序列化以及serialVersionUID,java反序列漏洞解决方案

时间:2023-05-05 02:02:25 阅读:229147 作者:3181

 前言

最近接手的老项目也不少,我在看老项目的代码的时候,顺便看到同事敲代码,

无聊问到同事,
这个类为啥要实现序列化?

你看有些类没序列化不是嘛,但是有些又序列化了,为啥?

为啥你现在新建的也序列化? 

你知道序列化有啥用么?

一串连问后,得到了短暂的宁静。

我才发现,
其实很多人都没有去了解过这些 ,大多数都是脑子里有个模糊的概念,看到别人这么做,也跟着这么做。

所以,我决定写一篇关于这个序列化、反序列化以及serialVersionUID使用和不使用的简单介绍文章,希望能帮助一些伙伴把脑子里模糊的概念给抹掉。

 

正文

 序列化和反序列化 ,这两个词一看就是对着干的。

简单理解:

序列化,就是将一个东西 给变化成序列。

反序列化,就是将序列给变化成一个东西。

这里顺便一提,serialVersionUID 其实就是这个东西的一个号码,就行是咱们的身份证一样。

 

文笔拙劣,我们结合代码来看:

首先我们新建一个类,用于咱们接下来的序列化操作使用,Cat.class:

ps: 该篇文章主介绍实现Serializable 接口 来达到序列化。

import java.io.Serializable;/** * @Author : JCccc * @CreateTime : 2020/4/21 * @Description : **/public class Dog implements Serializable { private String name; private Integer age; @Override public String toString() { return "Dog{" + "name='" + name + ''' + ", age=" + age + '}'; } public String getName() { return name; } public void setName(String name) { this.name = name; } public Integer getAge() { return age; } public void setAge(Integer age) { this.age = age; }}

可以看到上面的类 Dog实现了Serializable, 标记这个类是可以序列化的。

有人也注意到了,为什么没有弄serialVersionUID ? 
其实咱们如果不手动设置serialVersionUID,会有默认计算出的serialVersionUID的。后面再讨论为什么有手动弄serialVersionUID的场景。

 

结合代码

 

序列化 import com.jc.mytest.model.Dog;import java.io.*;/** * @Author : JCccc * @CreateTime : 2020/4/21 * @Description : **/public class SerializeTest { public static void main(String[] args) throws IOException, ClassNotFoundException { //序列化对象-IO流-存储 ObjectOutputStream objectOutputStream = new ObjectOutputStream(new FileOutputStream("D:\dogInfoText.out")); Dog dog=new Dog(); dog.setName("zjdyd"); dog.setAge(1); objectOutputStream.writeObject(dog); objectOutputStream.flush(); objectOutputStream.close(); }}

运行一下,可以看到我们的D盘生成了这个Dog类型序列化后的文件,

里面全是 ‘乱码’,没事乱码我们看不懂,但是jvm能看懂。

 

反序列化 public class SerializeTest { public static void main(String[] args) throws IOException, ClassNotFoundException { ObjectInputStream objectInputStream = new ObjectInputStream(new FileInputStream("D:\dogInfoText.out")); Dog dog = (Dog) objectInputStream.readObject(); System.out.println("dog's name:"+dog.getName()); }}

运行结果,跟我们序列化进去的Dog设置的字段属性值一样:

 

序列化和反序列化的简单使用操作已经完毕,作用显然都知道了,简单的理解就是转存为字节流可以方便传输,然后反序列化可以快速地拿到原来的对象。

 

那么接下来我们来看看为什么要加 serialVersionUID ? 如:

private static final long serialVersionUID = -8567374045705746827L; private static final long serialVersionUID = 1L;

 

上面有说过如果我们不手动加这个 serialVersionUID,是会默认生成一个的,只是我们看不到。

上面也有说过,这个serialVersionUID就像是这个类的身份证号码一样,具有唯一识别的性质。

 

举例:

原本我们的Dog类只有2个字段属性,

然后我们进行了序列化, 这时候,对应默认对应的 serialVersionUID,绑定的内容是这个Dog,有2个字段属性,

已经序列化保存到D:\dogInfoText.out 文件里面了。

 

这时候我们进行一个修改,增加一个字段,nickName 。如:

此时,我们进行反序列化的操作,就会报错:

因为系统默认给之前序列化的Dog是生成了一个serialVersionUID的,里面绑定的属性只有两个,现在你让三个属性的去接收反序列化后的Dog类,且身份证号码不一样,肯定报错了。

 

这时候避免这种情况的出现,手动设置一个serialVersionUID就可以,如:

 

加上serialVersionUID之后的Dog,序列化之后,无论后面怎么修改,只要serialVersionUID不变,反序列化就可以正常进行。

(如果没有设置idea自动生成,手动设置1L也是经常使用的手段)

 

最后再补充两点, 哪些字段是不能被序列化的呢?

1. static 修饰的, 因为序列化操作是对于 堆 区 ,而static的在全局区

2.transient 修饰的字段 ,在使用implements Serializable 的时候,也是避开序列化的

 

ps: 至于子类和父类这些继承关系,序列化的时候应该遵守什么规则,这些就留个大家去额外扩展下吧。

 

 

 

好,该篇文章就到此结束。

 

 

 

 

 

 

 

 

 

 

 

版权声明:该文观点仅代表作者本人。处理文章:请发送邮件至 三1五14八八95#扣扣.com 举报,一经查实,本站将立刻删除。