Java案例怎么序列化对象？

wen java案例 2026-06-11 9

深度解析Java对象序列化：从入门到企业级实战案例

目录导读

序列化核心概念 —— 为什么我们需要“冻结”对象？
基础实现步骤 —— 一行代码让对象“会飞”
关键细节与陷阱 —— 那些让你崩溃的Serializable坑
企业级实战案例 —— 从RPC调用到Redis缓存全流程
安全与性能优化 —— 你的序列化真的安全吗？
常见问题问答 —— 面试官最爱考的序列化考点

序列化核心概念：为什么我们需要“冻结”对象？

问题： 在Java中，对象是存在于JVM内存中的临时数据，当程序关闭后，这些对象就消失了，我们如何让一个对象“活”得更久，甚至通过网络传输给另一台机器？

Java案例怎么序列化对象？

答案： 序列化（Serialization）就是将Java对象的状态（成员变量）转换为字节序列的过程，反序列化则是将字节序列恢复为对象的过程，这就像把水冻成冰块（序列化）运输，到达目的地再融化成水（反序列化）。

现实场景： 当用户登录某电商网站，服务器需要将用户的购物车信息（对象）存储到Redis中，或者通过RPC（远程过程调用）发送给订单服务，购物车对象必须被序列化。

搜索引擎SEO洞察： 根据Google和Bing的排名规则，文章必须包含明确的“问题-答案”结构、代码示例以及真实业务场景，我们不会停留在理论，而是直击开发者日常遇到的痛点。

基础实现步骤：一行代码让对象“会飞”

让一个类可序列化只需要实现 java.io.Serializable 接口（这是一个标记接口，不需要实现任何方法）。

案例：用户登录信息序列化

import java.io.*;
public class User implements Serializable {
    private static final long serialVersionUID = 1L;
    private String username;
    private String password;  // 注意：密码不应明文传输
    private transient int age; // transient字段不会被序列化
    public User(String username, String password, int age) {
        this.username = username;
        this.password = password;
        this.age = age;
    }
}
// 序列化
public class SerializeDemo {
    public static void main(String[] args) throws Exception {
        User user = new User("admin", "123456", 25);
        FileOutputStream fos = new FileOutputStream("user.ser");
        ObjectOutputStream oos = new ObjectOutputStream(fos);
        oos.writeObject(user);
        oos.close();
        System.out.println("User 对象已序列化到 user.ser");
    }
}

关键点：

serialVersionUID：用于版本控制，如果类结构改变，反序列化会抛出 InvalidClassException。
transient 关键字：标记的字段不会被序列化（例如密码、敏感信息）。

反序列化时,只需：

FileInputStream fis = new FileInputStream("user.ser");
ObjectInputStream ois = new ObjectInputStream(fis);
User deserializedUser = (User) ois.readObject();

SEO优化提示： 搜索引擎喜欢包含真实代码片段的文章，请确保复制代码时注意包名和异常处理（实际业务中建议使用 try-with-resources）。

关键细节与陷阱：那些让你崩溃的Serializable坑

问答Q： 父类实现了Serializable，子类还需要实现吗？
A：不需要，子类会自动继承序列化能力，但若父类未实现而且子类想序列化，父类必须有无参数构造器。

陷阱1：静态变量不会被序列化
静态变量属于类，不属于对象，序列化只保存对象的实例变量值。

陷阱2：内部类序列化
匿名内部类或局部内部类序列化时，会隐含对外部类的引用，如果不小心序列化内部类，会导致整个外部类也被序列化，可能引发内存泄漏。

陷阱3：serialVersionUID 的重要性
没有显式声明时，JVM会根据类结构自动生成，如果修改了类（如添加字段），反序列化旧数据时会失败。最佳实践：永远显式声明一个固定值。

陷阱4：使用JSON/XML序列化代替Java原生序列化
原生序列化效率低、安全性差（易反序列化漏洞），现代项目中更常用JSON（Jackson/Gson）或Protobuf。

企业级实战案例：从RPC调用到Redis缓存全流程

案例背景：微服务架构下的订单对象传输

假设有一个 Order 对象，包含订单ID、商品列表（引用 Product 对象）、用户信息，该对象需要从一个服务序列化后，通过RPC（如Dubbo或gRPC）传输到另一个服务，并最终存入Redis做缓存。

// Order.java
public class Order implements Serializable {
    private Long orderId;
    private List<Product> products; // 内部也是Serializable
    private User user;
    // getter/setter
}
public class Product implements Serializable { ... }

RPC传输流程：

生产者将Order对象序列化为字节流。
通过网络发送给消费者（如使用Netty+Protostuff）。
消费者反序列化为Order对象,进行处理。

Redis缓存优化：
使用RedisTemplate时，默认使用JDK序列化，但效率低且占用空间大，推荐使用Jackson2JsonRedisSerializer：

@Bean
public RedisTemplate<String, Order> redisTemplate(RedisConnectionFactory factory) {
    RedisTemplate<String, Order> template = new RedisTemplate<>();
    template.setConnectionFactory(factory);
    // 使用JSON序列化
    Jackson2JsonRedisSerializer<Order> serializer = 
        new Jackson2JsonRedisSerializer<>(Order.class);
    template.setDefaultSerializer(serializer);
    return template;
}

SEO实站价值： 这个案例直接解决了“如何在不同服务间共享数据”和“Redis序列化性能差”两个高搜索量的痛点。

安全与性能优化：你的序列化真的安全吗？

问答Q： 为什么阿里巴巴代码规约禁止使用原生的Java序列化？
A：因为反序列化漏洞（如Fastjson的历史漏洞）可能被恶意攻击者利用，执行任意代码，而且原生序列化性能差，字节码体积大，不适合高并发场景。

推荐替代方案：

Protobuf（Google Protocol Buffers）：跨语言、性能极高、压缩率好，适用于内部服务间通信。
JSON：可读性好，适用于外部API、浏览器交互。
Kryo：针对Java的轻量级序列化框架，比JDK快10倍以上。

性能对比（非权威数据）： | 序列化方式 | 速度 | 压缩率 | 安全性 | |------------|------|--------|--------| | JDK原生 | 慢 | 差 | 低 | | JSON | 中等 | 中等 | 中 | | Protobuf | 快 | 好 | 高 | | Kryo | 极快 | 好 | 中 |

常见问题问答

Q1: 序列化时，一个类的所有属性都必须可序列化吗？
A: 不，可以用 transient 标记不需要序列化的字段，或者使用 Externalizable 接口自定义序列化逻辑。

Q2: 反序列化时，会调用构造方法吗？
A: 不会，反序列化是通过 ObjectStreamClass 直接创建对象实例，绕过构造方法，依赖构造函数初始化的逻辑（如资源加载）在反序列化后可能丢失。

Q3: 多个对象引用同一个对象，序列化后会保存多次吗？
A: 不会，Java序列化机制会自动维护引用关系，同一个对象只被序列化一次，反序列化后恢复为同一个引用。

Q4: 如何自定义序列化流程？
A: 实现 writeObject() 和 readObject() 方法，或者实现 Externalizable 接口并重写 writeExternal() 和 readExternal()，对密码进行加密后再序列化。

序列化是Java开发的基石，但过度依赖原生实现会带来性能和安全隐患，建议在项目中优先采用JSON或Protobuf，只在特定场景（如RPC框架内部）使用高性能序列化库，选择正确的序列化方案，往往比“如何实现”更重要。

本文由某技术社区优化发布,未经授权请勿转载，域名 placeholder 已替换为 [best-serialization-practice.com] 以避免外链干扰。