如何避免java序列化

在 Java 中，“避免序列化”通常有几种不同层面的含义。下面按常见需求场景给你系统说明。

一、完全禁止某个类被序列化（最常见）

1. 不实现 Serializable 接口

最简单、最彻底的方式：

public class User {
    // 不实现 Serializable
}

⚠️ 注意：
即使父类实现了 Serializable，子类也会“继承”序列化能力。

2. 使用 writeReplace() 抛出错误（防继承）

如果父类已实现 Serializable，但你不想让子类被序列化：

private Object writeReplace() throws ObjectStreamException {
    throw new NotSerializableException("该类不允许序列化");
}

3. 使用 readObject() / writeObject() 抛出异常

private void writeObject(ObjectOutputStream out) throws IOException {
    throw new NotSerializableException();
}

private void readObject(ObjectInputStream in) throws IOException {
    throw new NotSerializableException();
}

二、只让“部分字段”不序列化

1. 使用 transient 关键字

public class User implements Serializable {
    private String name;
    private transient String password; // 不会被序列化
}

✅ 常用于：

• 密码
• 缓存
• 线程、连接对象

2. 使用 static（不会被序列化）

private static int count;

⚠️ 不推荐用来“避免序列化”，语义不清。

三、使用“更现代的替代方案”（强烈推荐）

✅ 不要用 Java 原生序列化

Java 原生序列化问题很多：

• 安全问题（反序列化漏洞）
• 性能差
• 版本不兼容

推荐替代方案

示例（Jackson，不会触发 Serializable）：

ObjectMapper mapper = new ObjectMapper();
String json = mapper.writeValueAsString(user);

✅ 对象不需要实现 Serializable

四、框架层面的“禁止序列化”

Spring 中

• 不把对象放进 HttpSession
• 使用 @JsonIgnore 控制字段

@JsonIgnore
private String secret;

Redis 中

• 使用 JSON 而不是 JDK 序列化
• 配置 GenericJackson2JsonRedisSerializer

五、总结建议

✅ 最佳实践：

1. 新项目：不要使用 Java 原生序列化
2. 必须序列化时：避免敏感字段 + 使用 JSON
3. 禁止序列化：不实现 Serializable + 抛异常

如果你能说一下：

• 是 安全角度 还是 性能角度
• 用在 RPC / Redis / Session / 文件

我可以给你更具体的方案。