Java序列化与反序列化流程是怎样的

Java序列化与反序列化的流程主要包括以下几个步骤：

序列化（Serialization）

1. 创建对象：

   • 首先，你需要有一个实现了Serializable接口的Java对象。

2. 获取输出流：

   • 使用FileOutputStream、ByteArrayOutputStream或其他类型的输出流来准备写入数据。

3. 创建ObjectOutputStream：

   • 将输出流包装在ObjectOutputStream中。这个类负责将对象转换为字节流。

4. 写入对象：

   • 调用ObjectOutputStream的writeObject()方法，传入要序列化的对象。

5. 关闭流：

   • 完成写入后，关闭ObjectOutputStream和相关的输出流。

6. 字节流存储：

   • 序列化后的字节流可以被保存到文件、数据库或通过网络传输。

反序列化（Deserialization）

1. 获取输入流：

   • 使用FileInputStream、ByteArrayInputStream或其他类型的输入流来读取数据。

2. 创建ObjectInputStream：

   • 将输入流包装在ObjectInputStream中。这个类负责从字节流中恢复对象。

3. 读取对象：

   • 调用ObjectInputStream的readObject()方法，该方法会返回一个Object类型的实例。

4. 类型转换：

   • 由于readObject()返回的是Object类型，你需要将其强制转换为原始对象的类型。

5. 使用对象：

   • 现在你有了原始对象的引用，可以像平常一样使用它。

6. 关闭流：

   • 完成读取后，关闭ObjectInputStream和相关的输入流。

注意事项

• Serializable接口：所有要序列化的类都必须实现Serializable接口，这是一个标记接口，没有任何方法需要实现。

• transient关键字：如果某个字段不想被序列化，可以在该字段前加上transient关键字。

• 版本控制：Java序列化机制支持版本控制。如果类的定义发生了变化（例如添加或删除了字段），只要保留了serialVersionUID，反序列化仍然可以成功。

• 安全性：序列化和反序列化过程中可能存在安全风险，特别是当处理来自不可信来源的数据时。应该采取适当的安全措施，比如使用自定义的序列化机制或限制可反序列化的类。

• 性能考虑：序列化和反序列化可能会消耗较多的时间和资源，特别是在处理大型对象图时。可以考虑使用更高效的序列化库，如Kryo、Protocol Buffers或FlatBuffers。

示例代码

import java.io.*;

public class SerializationExample {
    public static void main(String[] args) {
        // 序列化
        try (FileOutputStream fileOut = new FileOutputStream("object.ser");
             ObjectOutputStream out = new ObjectOutputStream(fileOut)) {
            MyClass obj = new MyClass();
            out.writeObject(obj);
            System.out.println("Serialized data is saved in object.ser");
        } catch (IOException i) {
            i.printStackTrace();
        }

        // 反序列化
        MyClass deserializedObj = null;
        try (FileInputStream fileIn = new FileInputStream("object.ser");
             ObjectInputStream in = new ObjectInputStream(fileIn)) {
            deserializedObj = (MyClass) in.readObject();
            System.out.println("Deserialized MyClass...");
        } catch (IOException i) {
            i.printStackTrace();
            return;
        } catch (ClassNotFoundException c) {
            System.out.println("MyClass class not found");
            c.printStackTrace();
            return;
        }

        System.out.println("Deserialized MyClass fields:");
        System.out.println("name: " + deserializedObj.name);
        System.out.println("age: " + deserializedObj.age);
    }
}

class MyClass implements Serializable {
    private static final long serialVersionUID = 1L;
    public String name;
    public transient int age; // 不会被序列化
}

在这个示例中，MyClass实现了Serializable接口，并且有一个transient字段age，它不会被序列化。