夯实Java基础系列22一文读懂Java序列化和反序列化

jiezi

5 年前

本系列文章将整理到我在 GitHub 上的《Java 面试指南》仓库，更多精彩内容请到我的仓库里查看

https://github.com/h2pl/Java-…

喜欢的话麻烦点下 Star 哈

文章首发于我的个人博客：

www.how2playlife.com

<!– more –>

本文参考 http://www.importnew.com/1796…
https://www.ibm.com/developer…

序列化 (Serialization)是将对象的状态信息转换为可以存储或传输的形式的过程。一般将一个对象存储至一个储存媒介，例如档案或是记亿体缓冲等。在网络传输过程中，可以是字节或是 XML 等格式。而字节的或 XML 编码格式可以还原完全相等的对象。这个相反的过程又称为反序列化。

在 Java 中，我们可以通过多种方式来创建对象，并且只要对象没有被回收我们都可以复用该对象。但是，我们创建出来的这些 Java 对象都是存在于 JVM 的堆内存中的。

只有 JVM 处于运行状态的时候，这些对象才可能存在。一旦 JVM 停止运行，这些对象的状态也就随之而丢失了。

但是在真实的应用场景中，我们需要将这些对象持久化下来，并且能够在需要的时候把对象重新读取出来。Java 的对象序列化可以帮助我们实现该功能。

对象序列化机制（object serialization）是 Java 语言内建的一种对象持久化方式，通过对象序列化，可以把对象的状态保存为字节数组，并且可以在有需要的时候将这个字节数组通过反序列化的方式再转换成对象。

对象序列化可以很容易的在 JVM 中的活动对象和字节数组（流）之间进行转换。

在 Java 中，对象的序列化与反序列化被广泛应用到 RMI(远程方法调用)及网络传输中。

Java 为了方便开发人员将 Java 对象进行序列化及反序列化提供了一套方便的 API 来支持。其中包括以下接口和类：

java.io.Serializable

java.io.Externalizable

ObjectOutput

ObjectInput

ObjectOutputStream

ObjectInputStream

Serializable 接口

类通过实现 java.io.Serializable 接口以启用其序列化功能。

未实现此接口的类将无法使其任何状态序列化或反序列化。可序列化类的所有子类型本身都是可序列化的。序列化接口没有方法或字段，仅用于标识可序列化的语义。(该接口并没有方法和字段，为什么只有实现了该接口的类的对象才能被序列化呢？)

当试图对一个对象进行序列化的时候，如果遇到不支持 Serializable 接口的对象。在此情况下，将抛出 NotSerializableException。

如果要序列化的类有父类，要想同时将在父类中定义过的变量持久化下来，那么父类也应该集成 java.io.Serializable 接口。

下面是一个实现了 java.io.Serializable 接口的类

public class 序列化和反序列化 {public static void main(String[] args) { }
    // 注意，内部类不能进行序列化，因为它依赖于外部类
    @Test
    public void test() throws IOException {A a = new A();
        a.i = 1;
        a.s = "a";
        FileOutputStream fileOutputStream = null;
        FileInputStream fileInputStream = null;
        try {
            // 将 obj 写入文件
            fileOutputStream = new FileOutputStream("temp");
            ObjectOutputStream objectOutputStream = new ObjectOutputStream(fileOutputStream);
            objectOutputStream.writeObject(a);
            fileOutputStream.close();
            // 通过文件读取 obj
            fileInputStream = new FileInputStream("temp");
            ObjectInputStream objectInputStream = new ObjectInputStream(fileInputStream);
            A a2 = (A) objectInputStream.readObject();
            fileInputStream.close();
            System.out.println(a2.i);
            System.out.println(a2.s);
            // 打印结果和序列化之前相同
        } catch (IOException e) {e.printStackTrace();
        } catch (ClassNotFoundException e) {e.printStackTrace();
        }
    }
}

class A implements Serializable {

    int i;
    String s;
}

Externalizable 接口

除了 Serializable 之外，java 中还提供了另一个序列化接口 Externalizable

为了了解 Externalizable 接口和 Serializable 接口的区别，先来看代码，我们把上面的代码改成使用 Externalizable 的形式。

class B implements Externalizable {
    // 必须要有公开无参构造函数。否则报错
    public B() {}
    int i;
    String s;
    @Override
    public void writeExternal(ObjectOutput out) throws IOException { }

    @Override
    public void readExternal(ObjectInput in) throws IOException, ClassNotFoundException {}}

@Test
    public void test2() throws IOException, ClassNotFoundException {B b = new B();
        b.i = 1;
        b.s = "a";
        // 将 obj 写入文件
        FileOutputStream fileOutputStream = new FileOutputStream("temp");
        ObjectOutputStream objectOutputStream = new ObjectOutputStream(fileOutputStream);
        objectOutputStream.writeObject(b);
        fileOutputStream.close();
        // 通过文件读取 obj
        FileInputStream fileInputStream = new FileInputStream("temp");
        ObjectInputStream objectInputStream = new ObjectInputStream(fileInputStream);
        B b2 = (B) objectInputStream.readObject();
        fileInputStream.close();
        System.out.println(b2.i);
        System.out.println(b2.s);
        // 打印结果为 0 和 null，即初始值，没有被赋值
        //0
        //null
    }

通过上面的实例可以发现，对 B 类进行序列化及反序列化之后得到的对象的所有属性的值都变成了默认值。也就是说，之前的那个对象的状态并没有被持久化下来。这就是 Externalizable 接口和 Serializable 接口的区别：

Externalizable 继承了 Serializable，该接口中定义了两个抽象方法：writeExternal()与 readExternal()。

当使用 Externalizable 接口来进行序列化与反序列化的时候需要开发人员重写 writeExternal()与 readExternal()方法。由于上面的代码中，并没有在这两个方法中定义序列化实现细节，所以输出的内容为空。

还有一点值得注意：在使用 Externalizable 进行序列化的时候，在读取对象时，会调用被序列化类的无参构造器去创建一个新的对象，然后再将被保存对象的字段的值分别填充到新对象中。所以，实现 Externalizable 接口的类必须要提供一个 public 的无参的构造器。

class C implements Externalizable {
    int i;
    int j;
    String s;
    public C() {}
    // 实现下面两个方法可以选择序列化中需要被复制的成员。// 并且，写入顺序和读取顺序要一致，否则报错。// 可以写入多个同类型变量，顺序保持一致即可。@Override
    public void writeExternal(ObjectOutput out) throws IOException {out.writeInt(i);
        out.writeInt(j);
        out.writeObject(s);
    }

    @Override
    public void readExternal(ObjectInput in) throws IOException, ClassNotFoundException {i = in.readInt();
        j = in.readInt();
        s = (String) in.readObject();}
}

@Test
    public void test3() throws IOException, ClassNotFoundException {C c = new C();
        c.i = 1;
        c.j = 2;
        c.s = "a";
        // 将 obj 写入文件
        FileOutputStream fileOutputStream = new FileOutputStream("temp");
        ObjectOutputStream objectOutputStream = new ObjectOutputStream(fileOutputStream);
        objectOutputStream.writeObject(c);
        fileOutputStream.close();
        // 通过文件读取 obj
        FileInputStream fileInputStream = new FileInputStream("temp");
        ObjectInputStream objectInputStream = new ObjectInputStream(fileInputStream);
        C c2 = (C) objectInputStream.readObject();
        fileInputStream.close();
        System.out.println(c2.i);
        System.out.println(c2.j);
        System.out.println(c2.s);
        // 打印结果为 0 和 null，即初始值，没有被赋值
        //0
        //null
    }

序列化 ID 问题
情境：两个客户端 A 和 B 试图通过网络传递对象数据，A 端将对象 C 序列化为二进制数据再传给 B，B 反序列化得到 C。

问题：C 对象的全类路径假设为 com.inout.Test，在 A 和 B 端都有这么一个类文件，功能代码完全一致。也都实现了 Serializable 接口，但是反序列化时总是提示不成功。

解决：虚拟机是否允许反序列化，不仅取决于类路径和功能代码是否一致，一个非常重要的一点是两个类的序列化 ID 是否一致（就是 private static final long serialVersionUID = 1L）。清单 1 中，虽然两个类的功能代码完全一致，但是序列化 ID 不同，他们无法相互序列化和反序列化。

package com.inout; 
 
import java.io.Serializable; 
 
public class A implements Serializable { 
 
    private static final long serialVersionUID = 1L; 
 
    private String name; 
    
    public String getName() 
    {return name;} 
    
    public void setName(String name) 
    {this.name = name;} 
} 
 
package com.inout; 
 
import java.io.Serializable; 
 
public class A implements Serializable { 
 
    private static final long serialVersionUID = 2L; 
    
    private String name; 
    
    public String getName() 
    {return name;} 
    
    public void setName(String name) 
    {this.name = name;} 
}

清单 2 中的 main 方法，将对象序列化后，修改静态变量的数值，再将序列化对象读取出来，然后通过读取出来的对象获得静态变量的数值并打印出来。依照清单 2，这个 System.out.println(t.staticVar) 语句输出的是 10 还是 5 呢？

public class Test implements Serializable {
 
    private static final long serialVersionUID = 1L;
 
    public static int staticVar = 5;
 
    public static void main(String[] args) {
        try {
            // 初始时 staticVar 为 5
            ObjectOutputStream out = new ObjectOutputStream(new FileOutputStream("result.obj"));
            out.writeObject(new Test());
            out.close();
 
            // 序列化后修改为 10
            Test.staticVar = 10;
 
            ObjectInputStream oin = new ObjectInputStream(new FileInputStream("result.obj"));
            Test t = (Test) oin.readObject();
            oin.close();
             
            // 再读取，通过 t.staticVar 打印新的值
            System.out.println(t.staticVar);
             
        } catch (FileNotFoundException e) {e.printStackTrace();
        } catch (IOException e) {e.printStackTrace();
        } catch (ClassNotFoundException e) {e.printStackTrace();
        }
    }
}

最后的输出是 10，对于无法理解的读者认为，打印的 staticVar 是从读取的对象里获得的，应该是保存时的状态才对。之所以打印 10 的原因在于序列化时，并不保存静态变量，这其实比较容易理解，序列化保存的是对象的状态，静态变量属于类的状态，因此序列化并不保存静态变量。

ArrayList 的序列化
在介绍 ArrayList 序列化之前，先来考虑一个问题：

如何自定义的序列化和反序列化策略

带着这个问题，我们来看 java.util.ArrayList 的源码

public class ArrayList<E> extends AbstractList<E>
        implements List<E>, RandomAccess, Cloneable, java.io.Serializable
{
    private static final long serialVersionUID = 8683452581122892189L;
    transient Object[] elementData; // non-private to simplify nested class access
    private int size;
}

笔者省略了其他成员变量，从上面的代码中可以知道 ArrayList 实现了 java.io.Serializable 接口，那么我们就可以对它进行序列化及反序列化。

因为 elementData 是 transient 的（1.8 好像改掉了这一点)，所以我们认为这个成员变量不会被序列化而保留下来。我们写一个 Demo，验证一下我们的想法：

public class ArrayList 的序列化 {public static void main(String[] args) throws IOException, ClassNotFoundException {ArrayList list = new ArrayList();
        list.add("a");
        list.add("b");
        ObjectOutputStream objectOutputStream = new ObjectOutputStream(new FileOutputStream("arr"));
        objectOutputStream.writeObject(list);
        objectOutputStream.close();
        ObjectInputStream objectInputStream = new ObjectInputStream(new FileInputStream("arr"));
        ArrayList list1 = (ArrayList) objectInputStream.readObject();
        objectInputStream.close();
        System.out.println(Arrays.toString(list.toArray()));
        // 序列化成功，里面的元素保持不变。}

了解 ArrayList 的人都知道，ArrayList 底层是通过数组实现的。那么数组 elementData 其实就是用来保存列表中的元素的。通过该属性的声明方式我们知道，他是无法通过序列化持久化下来的。那么为什么 code 4 的结果却通过序列化和反序列化把 List 中的元素保留下来了呢？

writeObject 和 readObject 方法

在 ArrayList 中定义了来个方法：writeObject 和 readObject。

这里先给出结论:

在序列化过程中，如果被序列化的类中定义了 writeObject 和 readObject 方法，虚拟机会试图调用对象类里的 writeObject 和 readObject 方法，进行用户自定义的序列化和反序列化。

如果没有这样的方法，则默认调用是 ObjectOutputStream 的 defaultWriteObject 方法以及 ObjectInputStream 的 defaultReadObject 方法。

用户自定义的 writeObject 和 readObject 方法可以允许用户控制序列化的过程，比如可以在序列化的过程中动态改变序列化的数值。

来看一下这两个方法的具体实现：

private void readObject(java.io.ObjectInputStream s)
        throws java.io.IOException, ClassNotFoundException {
        elementData = EMPTY_ELEMENTDATA;

        // Read in size, and any hidden stuff
        s.defaultReadObject();

        // Read in capacity
        s.readInt(); // ignored

        if (size > 0) {// be like clone(), allocate array based upon size not capacity
            ensureCapacityInternal(size);

            Object[] a = elementData;
            // Read in all elements in the proper order.
            for (int i=0; i<size; i++) {a[i] = s.readObject();}
        }
    }
    
    
private void writeObject(java.io.ObjectOutputStream s)
        throws java.io.IOException{
        // Write out element count, and any hidden stuff
        int expectedModCount = modCount;
        s.defaultWriteObject();

        // Write out size as capacity for behavioural compatibility with clone()
        s.writeInt(size);

        // Write out all elements in the proper order.
        for (int i=0; i<size; i++) {s.writeObject(elementData[i]);
        }

        if (modCount != expectedModCount) {throw new ConcurrentModificationException();
        }
    }

那么为什么 ArrayList 要用这种方式来实现序列化呢？

why transient
ArrayList 实际上是动态数组，每次在放满以后自动增长设定的长度值，如果数组自动增长长度设为 100，而实际只放了一个元素，那就会序列化 99 个 null 元素。为了保证在序列化的时候不会将这么多 null 同时进行序列化，ArrayList 把元素数组设置为 transient。why writeObject and readObject
前面说过，为了防止一个包含大量空对象的数组被序列化，为了优化存储，所以，ArrayList 使用 transient 来声明 elementData。但是，作为一个集合，在序列化过程中还必须保证其中的元素可以被持久化下来，所以，通过重写 writeObject 和 readObject 方法的方式把其中的元素保留下来。writeObject 方法把 elementData 数组中的元素遍历的保存到输出流（ObjectOutputStream）中。readObject 方法从输入流（ObjectInputStream）中读出对象并保存赋值到 elementData 数组中。

延续上一部分，刚刚我们明白了 ArrayList 序列化数组元素的原理。

至此，我们先试着来回答刚刚提出的问题：

如何自定义的序列化和反序列化策略

答：可以通过在被序列化的类中增加 writeObject 和 readObject 方法。那么问题又来了：

虽然 ArrayList 中写了 writeObject 和 readObject 方法，但是这两个方法并没有显示的被调用啊。

那么如果一个类中包含 writeObject 和 readObject 方法，那么这两个方法是怎么被调用的呢?

ObjectOutputStream
从 code 4 中，我们可以看出，对象的序列化过程通过 ObjectOutputStream 和 ObjectInputputStream 来实现的，那么带着刚刚的问题，我们来分析一下 ArrayList 中的 writeObject 和 readObject 方法到底是如何被调用的呢？

为了节省篇幅，这里给出 ObjectOutputStream 的 writeObject 的调用栈：

writeObject —> writeObject0 —>writeOrdinaryObject—>writeSerialData—>invokeWriteObject

这里看一下 invokeWriteObject：

void invokeWriteObject(Object obj, ObjectOutputStream out)
        throws IOException, UnsupportedOperationException
    {if (writeObjectMethod != null) {
            try {writeObjectMethod.invoke(obj, new Object[]{out});
            } catch (InvocationTargetException ex) {Throwable th = ex.getTargetException();
                if (th instanceof IOException) {throw (IOException) th;
                } else {throwMiscException(th);
                }
            } catch (IllegalAccessException ex) {
                // should not occur, as access checks have been suppressed
                throw new InternalError(ex);
            }
        } else {throw new UnsupportedOperationException();
        }
    }

其中 writeObjectMethod.invoke(obj, new Object[]{out}); 是关键，通过反射的方式调用 writeObjectMethod 方法。官方是这么解释这个 writeObjectMethod 的：

class-defined writeObject method, or null if none

在我们的例子中，这个方法就是我们在 ArrayList 中定义的 writeObject 方法。通过反射的方式被调用了。

至此，我们先试着来回答刚刚提出的问题：

如果一个类中包含 writeObject 和 readObject 方法，那么这两个方法是怎么被调用的?

答：在使用 ObjectOutputStream 的 writeObject 方法和 ObjectInputStream 的 readObject 方法时，会通过反射的方式调用。

至此，我们已经介绍完了 ArrayList 的序列化方式。那么，不知道有没有人提出这样的疑问：

Serializable 明明就是一个空的接口，它是怎么保证只有实现了该接口的方法才能进行序列化与反序列化的呢？

Serializable 接口的定义：public interface Serializable {
}
读者可以尝试把 code 1 中的继承 Serializable 的代码去掉，再执行 code 2，会抛出 java.io.NotSerializableException。

其实这个问题也很好回答，我们再回到刚刚 ObjectOutputStream 的 writeObject 的调用栈：

writeObject ---> writeObject0 --->writeOrdinaryObject--->writeSerialData--->invokeWriteObject

writeObject0 方法中有这么一段代码：

if (obj instanceof String) {writeString((String) obj, unshared);
            } else if (cl.isArray()) {writeArray(obj, desc, unshared);
            } else if (obj instanceof Enum) {writeEnum((Enum<?>) obj, desc, unshared);
            } else if (obj instanceof Serializable) {writeOrdinaryObject(obj, desc, unshared);
            } else {if (extendedDebugInfo) {
                    throw new NotSerializableException(cl.getName() + "\n" + debugInfoStack.toString());
                } else {throw new NotSerializableException(cl.getName());
                }
            }

在进行序列化操作时，会判断要被序列化的类是否是 Enum、Array 和 Serializable 类型，如果不是则直接抛出 NotSerializableException。

1、如果一个类想被序列化，需要实现 Serializable 接口。否则将抛出 NotSerializableException 异常，这是因为，在序列化操作过程中会对类型进行检查，要求被序列化的类必须属于 Enum、Array 和 Serializable 类型其中的任何一种。

2、通过 ObjectOutputStream 和 ObjectInputStream 对对象进行序列化及反序列化

3、虚拟机是否允许反序列化，不仅取决于类路径和功能代码是否一致，一个非常重要的一点是两个类的序列化 ID 是否一致（就是 private static final long serialVersionUID）

序列化 ID 在 Eclipse 下提供了两种生成策略，一个是固定的 1L，一个是随机生成一个不重复的 long 类型数据（实际上是使用 JDK 工具生成），在这里有一个建议，如果没有特殊需求，就是用默认的 1L 就可以，这样可以确保代码一致时反序列化成功。那么随机生成的序列化 ID 有什么作用呢，有些时候，通过改变序列化 ID 可以用来限制某些用户的使用。

4、序列化并不保存静态变量。

5、要想将父类对象也序列化，就需要让父类也实现 Serializable 接口。

6、Transient 关键字的作用是控制变量的序列化，在变量声明前加上该关键字，可以阻止该变量被序列化到文件中，在被反序列化后，transient 变量的值被设为初始值，如 int 型的是 0，对象型的是 null。

7、服务器端给客户端发送序列化对象数据，对象中有一些数据是敏感的，比如密码字符串等，希望对该密码字段在序列化时，进行加密，而客户端如果拥有解密的密钥，只有在客户端进行反序列化时，才可以对密码进行读取，这样可以一定程度保证序列化对象的数据安全。

8、在类中增加 writeObject 和 readObject 方法可以实现自定义序列化策略

https://blog.csdn.net/qq_3498…

https://www.meiwen.com.cn/sub…

https://blog.csdn.net/qq_3498…

https://segmentfault.com/a/11…

https://my.oschina.net/wuxins…

https://blog.csdn.net/hukaile…

如果大家想要实时关注我更新的文章以及分享的干货的话，可以关注我的公众号【Java 技术江湖】一位阿里 Java 工程师的技术小站，作者黄小斜，专注 Java 相关技术：SSM、SpringBoot、MySQL、分布式、中间件、集群、Linux、网络、多线程，偶尔讲点 Docker、ELK，同时也分享技术干货和学习经验，致力于 Java 全栈开发！

Java 工程师必备学习资源: 一些 Java 工程师常用学习资源，关注公众号后，后台回复关键字 “Java” 即可免费无套路获取。

作者是跨考软件工程的 985 硕士，自学 Java 两年，拿到了 BAT 等近十家大厂 offer，从技术小白成长为阿里工程师。

作者专注于 JAVA 后端技术栈，热衷于分享程序员干货、学习经验、求职心得和程序人生，目前黄小斜的 CSDN 博客有百万 + 访问量，知乎粉丝 2W+，全网已有 10W+ 读者。

黄小斜是一个斜杠青年，坚持学习和写作，相信终身学习的力量，希望和更多的程序员交朋友，一起进步和成长！

关注公众号【黄小斜】后回复【原创电子书】即可领取我原创的电子书《菜鸟程序员修炼手册：从技术小白到阿里巴巴 Java 工程师》

程序员 3T 技术学习资源： 一些程序员学习技术的资源大礼包，关注公众号后，后台回复关键字 “资料” 即可免费无套路获取。

夯实Java基础系列22一文读懂Java序列化和反序列化

序列化与反序列化概念

Java 对象的序列化与反序列化

相关接口及类

序列化 ID

静态变量不参与序列化

探究 ArrayList 的序列化

如何自定义的序列化和反序列化策略

为什么要实现 Serializable

序列化知识点总结

参考文章

微信公众号

Java 技术江湖

个人公众号：黄小斜