Java序列化与反序列化：如何实现高效的序列化？JDK 8、17与21中有哪些最佳实践？

粉丝提问：

Java 序列化与反序列化的核心是什么？如何实现高效的序列化？JDK 8、17 和 21 中有哪些实用的优化技巧？

本文将深入解析 Java 序列化与反序列化的基本原理、常见实现方式以及 JDK 8、17 和 21 的优化技巧，结合代码案例提供最佳实践，帮助你构建高效、可靠的序列化方案。

---

作者简介

猫头虎是谁？

大家好，我是 猫头虎，猫头虎技术团队创始人，也被大家称为猫哥。我目前是COC北京城市开发者社区主理人、COC西安城市开发者社区主理人，以及云原生开发者社区主理人，在多个技术领域如云原生、前端、后端、运维和AI都具备丰富经验。

我的博客内容涵盖广泛，主要分享技术教程、Bug解决方案、开发工具使用方法、前沿科技资讯、产品评测、产品使用体验，以及产品优缺点分析、横向对比、技术沙龙参会体验等。我的分享聚焦于云服务产品评测、AI产品对比、开发板性能测试和技术报告。

目前，我活跃在CSDN、51CTO、腾讯云、阿里云开发者社区、华为云开发者社区、知乎、微信公众号、视频号、抖音、B站、小红书等平台，全网粉丝已超过30万。我所有平台的IP名称统一为猫头虎或猫头虎技术团队。

我希望通过我的分享，帮助大家更好地掌握和使用各种技术产品，提升开发效率与体验。

---

作者名片 ✍️

• 博主：猫头虎
• 全网搜索关键词：猫头虎
• 作者微信号：Libin9iOak
• 作者公众号：猫头虎技术团队
• 更新日期：2024年12月16日
• 🌟 欢迎来到猫头虎的博客 — 探索技术的无限可能！

---

加入我们AI共创团队 🌐

• 猫头虎AI共创社群矩阵列表：
  • 点我进入共创社群矩阵入口
  • 点我进入新矩阵备用链接入口

加入猫头虎的共创圈，一起探索编程世界的无限可能！ 🚀

---

正文

---

一、什么是序列化与反序列化？

1. 序列化（Serialization）

将对象的状态转换为字节流，用于持久化存储或网络传输。

2. 反序列化（Deserialization）

将字节流还原为对象，恢复原始数据。

---

二、Java 中的序列化实现

1. 使用 Serializable 接口

Java 提供了 Serializable 接口作为标准序列化方案。

代码示例：基础序列化

import java.io.*;

class User implements Serializable {
    private static final long serialVersionUID = 1L;
    private String name;
    private int age;

    public User(String name, int age) {
        this.name = name;
        this.age = age;
    }

    @Override
    public String toString() {
        return "User{name='" + name + "', age=" + age + "}";
    }
}

public class SerializationDemo {
    public static void main(String[] args) throws IOException, ClassNotFoundException {
        User user = new User("Alice", 25);

        // 序列化
        try (ObjectOutputStream oos = new ObjectOutputStream(new FileOutputStream("user.ser"))) {
            oos.writeObject(user);
        }

        // 反序列化
        try (ObjectInputStream ois = new ObjectInputStream(new FileInputStream("user.ser"))) {
            User deserializedUser = (User) ois.readObject();
            System.out.println("反序列化结果：" + deserializedUser);
        }
    }
}

输出结果：

反序列化结果：User{name='Alice', age=25}

---

2. 自定义序列化

通过实现 readObject 和 writeObject 方法，自定义序列化逻辑。

代码示例：自定义序列化

class SecureUser implements Serializable {
    private static final long serialVersionUID = 1L;
    private transient String password; // 不序列化
    private String username;

    public SecureUser(String username, String password) {
        this.username = username;
        this.password = password;
    }

    private void writeObject(ObjectOutputStream oos) throws IOException {
        oos.defaultWriteObject();
        oos.writeObject(password != null ? password.hashCode() : null); // 存储密码的哈希值
    }

    private void readObject(ObjectInputStream ois) throws IOException, ClassNotFoundException {
        ois.defaultReadObject();
        password = null; // 密码在反序列化时仍为空
    }

    @Override
    public String toString() {
        return "SecureUser{username='" + username + "', password='" + password + "'}";
    }
}

---

三、JDK 8、17 和 21 中的优化与最佳实践

1. 避免使用默认序列化

问题

• 默认序列化性能较差，会生成大量无用的元数据。
• 序列化机制易受攻击，可能导致反序列化漏洞。

优化方案

使用第三方库（如 Kryo、Protostuff）或 Java 原生的 Externalizable 接口代替。

代码示例：使用 Externalizable

import java.io.*;

class ExternalUser implements Externalizable {
    private String name;
    private int age;

    public ExternalUser() {} // 必须提供无参构造器

    public ExternalUser(String name, int age) {
        this.name = name;
        this.age = age;
    }

    @Override
    public void writeExternal(ObjectOutput out) throws IOException {
        out.writeUTF(name);
        out.writeInt(age);
    }

    @Override
    public void readExternal(ObjectInput in) throws IOException, ClassNotFoundException {
        name = in.readUTF();
        age = in.readInt();
    }

    @Override
    public String toString() {
        return "ExternalUser{name='" + name + "', age=" + age + "}";
    }
}

---

2. 优化 serialVersionUID 的管理

问题

默认 serialVersionUID 生成方式可能导致序列化兼容性问题。

优化方案

显式声明 serialVersionUID，确保版本兼容。

---

3. 使用现代序列化工具

推荐工具

• Kryo：快速且高效，适用于大规模数据传输。
• Jackson：支持 JSON 格式，适合与 Web 服务交互。
• ProtoBuf：高效的二进制序列化，适合跨语言场景。

---

4. 在 JDK 17 与 21 中的新特性

a. Record 支持序列化

Record 类自动实现 Serializable，简化数据类的序列化。

代码示例：Record 序列化

import java.io.*;

record RecordUser(String name, int age) implements Serializable {}

public class RecordSerializationDemo {
    public static void main(String[] args) throws IOException, ClassNotFoundException {
        RecordUser user = new RecordUser("Bob", 30);

        // 序列化
        try (ObjectOutputStream oos = new ObjectOutputStream(new FileOutputStream("recordUser.ser"))) {
            oos.writeObject(user);
        }

        // 反序列化
        try (ObjectInputStream ois = new ObjectInputStream(new FileInputStream("recordUser.ser"))) {
            RecordUser deserializedUser = (RecordUser) ois.readObject();
            System.out.println("反序列化结果：" + deserializedUser);
        }
    }
}

b. 使用 java.io.Serial 注解

JDK 16 起引入了 @Serial 注解，用于标记序列化相关的方法，增强代码可读性。

---

四、性能分析与优化

1. 使用 ObjectOutputStream 的缓冲

优化方案

使用 BufferedOutputStream 包装流，减少 I/O 操作。

代码示例：优化流写入

try (ObjectOutputStream oos = new ObjectOutputStream(new BufferedOutputStream(new FileOutputStream("user.ser")))) {
    oos.writeObject(new User("Alice", 25));
}

---

2. 分析序列化性能

使用 Java Flight Recorder（JFR） 或 VisualVM 分析对象序列化的热点和瓶颈。

示例：启用 JFR

java -XX:StartFlightRecording=duration=60s,filename=recording.jfr MyApp

---

3. 减少对象深度嵌套

优化建议

避免深层嵌套的对象结构，改用扁平化的设计。

---

五、常见问题与解答

Q1：序列化对象在不同版本的 JVM 中是否兼容？

A：只要 serialVersionUID 一致且类的结构未变，序列化是兼容的。

---

Q2：如何保护反序列化的安全性？

A：

1. 白名单验证：仅允许反序列化受信任的类。
2. 使用 ObjectInputFilter：过滤不安全的对象。

代码示例：使用 ObjectInputFilter

ObjectInputFilter filter = ObjectInputFilter.Config.createFilter("com.example.*;!*");
try (ObjectInputStream ois = new ObjectInputStream(new FileInputStream("user.ser"))) {
    ois.setObjectInputFilter(filter);
    User user = (User) ois.readObject();
}

---

六、总结

序列化的优化要点：

1. 避免默认序列化机制，使用高效的工具或自定义逻辑。
2. 显式声明 serialVersionUID，确保版本兼容。
3. 借助现代工具（如 Kryo、ProtoBuf）提升序列化性能。
4. 使用 ObjectInputFilter 确保反序列化安全性。

想了解更多 Java 性能优化技巧？欢迎加入猫头虎的技术社群，与 60 万开发者共同成长！

---

🚀 分享你的问题，和猫头虎一起探索 Java 序列化的最佳实践！

粉丝福利

---

👉 更多信息：有任何疑问或者需要进一步探讨的内容，欢迎点击文末名片获取更多信息。我是猫头虎，期待与您的交流！ 🦉💬

🌐 第一板块：

• 链接：[直达链接]https://zhaimengpt1.kimi.asia/list

💳 第二板块：最稳定的AI全平台可支持平台

• 链接：[粉丝直达链接]https://bewildcard.com/?code=CHATVIP
  
  

---

联系我与版权声明 📩

• 联系方式：
  • 微信: Libin9iOak
  • 公众号: 猫头虎技术团队
• 版权声明：
  本文为原创文章，版权归作者所有。未经许可，禁止转载。更多内容请访问猫头虎的博客首页。

---

点击✨⬇️下方名片⬇️✨，加入猫头虎AI共创社群，交流AI新时代变现的无限可能。一起探索科技的未来，共同成长。🚀