java对象序列化是一个神奇的功能,它通过让对象实现Serializable接口,并将其传递给ObjectOutputStream的writeObject方法,就能得到该对像。writeObject是怎么样实现这个功能的呢?下面分析一下这个方法的实现
writeObject首先是获取当前序列化对象的的类信息,调用的是ObjectStreamClass的lookup方法
static ObjectStreamClass lookup(Class cl, boolean all) {
....
if (entry == null) {
try {
entry = new ObjectStreamClass(cl);//创建ObjectStreamClass
} catch (Throwable th) {
entry = th;
}
if (future.set(entry)) {
Caches.localDescs.put(key, new SoftReference<Object>(entry));
} else {
// nested lookup call already set future
entry = future.get();
}
}
if (entry instanceof ObjectStreamClass) {
return (ObjectStreamClass) entry;
} else if (entry instanceof RuntimeException) {
throw (RuntimeException) entry;
} else if (entry instanceof Error) {
throw (Error) entry;
} else {
throw new InternalError("unexpected entry: " + entry);
}
}
创建ObjectStreamClass会读取序列化所需要的一些类信息,代码如下
private ObjectStreamClass(final Class cl) {
this.cl = cl;
name = cl.getName();
isProxy = Proxy.isProxyClass(cl);//是否proxy类
isEnum = Enum.class.isAssignableFrom(cl);//是否Enum
serializable = Serializable.class.isAssignableFrom(cl);//否Serializable
externalizable = Externalizable.class.isAssignableFrom(cl);//是否Externalizable
Class superCl = cl.getSuperclass();
superDesc = (superCl != null) ? lookup(superCl, false) : null;
//获取父类及父类信息
localDesc = this;
if (serializable) {//如果serializable
AccessController.doPrivileged(new PrivilegedAction() {
public Object run() {
if (isEnum) {
//Enum生成suid为0且将fields设置为空ObjectStreamField的数组
suid = Long.valueOf(0);
fields = NO_FIELDS;
return null;
}
if (cl.isArray()) {
//Array fields设置为空ObjectStreamField的数组
fields = NO_FIELDS;
return null;
}
suid = getDeclaredSUID(cl);//获取类中定义的suid
try {
fields = [color=red]getSerialFields[/color](cl);
//如果是Serializable且!Externalizable.class.isAssignableFrom(cl) &&
// !Proxy.isProxyClass(cl) &&
// !cl.isInterface()
//则获取类中要定义的序列化的属性域
//可以通过serialPersistentFields来定义要序列化的属性域,或者非static 非TRANSIENT
computeFieldOffsets();//计算field占用空间的大小,属性个数
} catch (InvalidClassException e) {
serializeEx = deserializeEx = e;
fields = NO_FIELDS;
}
if (externalizable) {
//实现了externalizable 获取构造器
cons = getExternalizableConstructor(cl);
} else {
//未实现externalizable 获取构造器 私有的writeObject readbject readObjectNoData
cons = getSerializableConstructor(cl);
writeObjectMethod = getPrivateMethod(cl, "writeObject",
new Class[] { ObjectOutputStream.class },
Void.TYPE);
readObjectMethod = getPrivateMethod(cl, "readObject",
new Class[] { ObjectInputStream.class },
Void.TYPE);
readObjectNoDataMethod = getPrivateMethod(
cl, "readObjectNoData", null, Void.TYPE);
hasWriteObjectData = (writeObjectMethod != null);
}
//获取 writeReplace readResolve
writeReplaceMethod = getInheritableMethod(
cl, "writeReplace", null, Object.class);
readResolveMethod = getInheritableMethod(
cl, "readResolve", null, Object.class);
return null;
}
});
} else {//未实现serializable suid为0且将fields设置为空ObjectStreamField的数组
suid = Long.valueOf(0);
fields = NO_FIELDS;
}
try {
fieldRefl = getReflector(fields, this);
} catch (InvalidClassException ex) {
// field mismatches impossible when matching local fields vs. self
throw new InternalError();
}
if (deserializeEx == null) {
if (isEnum) {
deserializeEx = new InvalidClassException(name, "enum type");
} else if (cons == null) {
deserializeEx = new InvalidClassException(
name, "no valid constructor");
}
}
for (int i = 0; i < fields.length; i++) {
if (fields[i].getField() == null) {
defaultSerializeEx = new InvalidClassException(
name, "unmatched serializable field(s) declared");
}
}
}
最后则是根据要序列化的Object类型调用相应的方法进行序列化
看看对于普通对象的实现代码
private void writeOrdinaryObject(Object obj,
ObjectStreamClass desc,
boolean unshared)
throws IOException
{
if (extendedDebugInfo) {
debugInfoStack.push(
(depth == 1 ? "root " : "") + "object (class \"" +
obj.getClass().getName() + "\", " + obj.toString() + ")");
}
try {
desc.checkSerialize();
//检查是否可序列化
bout.writeByte(TC_OBJECT);
writeClassDesc(desc, false);
handles.assign(unshared ? null : obj);
if (desc.isExternalizable() && !desc.isProxy()) {
//Externalizable writeExternalData中会调用对象实现的writeExternal方法来完成写入
writeExternalData((Externalizable) obj);
} else {
//writeSerialData方法中会判断序列化对象有无writeObject方法
writeSerialData(obj, desc);
}
} finally {
if (extendedDebugInfo) {
debugInfoStack.pop();
}
}
}
通过以上源码分析可以知道,类必须实现Serializable或者Externalizable接口,通过实现Externalizable接口 编写私有的writeObject或者writeReplace方法,给属性添加transient或者serialPersistentFileds来控制序列化的行为
如下这个列子中我们编写私用的writeObject和readObject以帮助我们序列化中我们需要混淆totalValue的值还在反序列化中才还原
class Person implements Serializable{
public String name;
public Person spouse;
@SuppressWarnings("rawtypes")
public ArrayList children=new ArrayList();
public double totalValue;
private void writeObject(ObjectOutputStream oos) throws IOException{
totalValue=totalValue*2-1;
oos.defaultWriteObject();
}
private void readObject(ObjectInputStream ois) throws Exception{
totalValue=(totalValue-1)/2;
ois.defaultReadObject();
}
}
}
下面的代码给出了 serialPersistentFields的声明示例,即只有name这个域是要被序列化的。而当一个属性同时被serialPersistentFields和transient声明 则以serialPersistentFields为主
class Person implements Serializable{
public String name;
public Person spouse;
@SuppressWarnings("rawtypes")
public ArrayList children=new ArrayList();
public double totalValue;
private static final ObjectStreamField[] serialPersistentFields = {
new ObjectStreamField("name", String.class)
};
private void writeObject(ObjectOutputStream oos) throws IOException{
totalValue=totalValue*2-1;
oos.defaultWriteObject();
}
private void readObject(ObjectInputStream ois) throws Exception{
totalValue=(totalValue-1)/2;
ois.defaultReadObject();
}
}
序列化的安全性
Java对象序列化之后的内容格式是公开的。所以可以很容易的从中提取出各种信息。从实现的角度来说,可以从不同的层次来加强序列化的安全性。
- 对序列化之后的流进行加密。这可以通过CipherOutputStream来实现。
- 实现自己的writeObject和readObject方法,在调用defaultWriteObject之前,先对要序列化的域的值进行加密处理。
- 使用一个SignedObject或SealedObject来封装当前对象,用SignedObject或SealedObject进行序列化。
- 在从流中进行反序列化的时候,可以通过ObjectInputStream的registerValidation方法添加ObjectInputValidation接口的实现,用来验证反序列化之后得到的对象是否合法。
分享到:
相关推荐
学习Java序列化,里面包含一份PPT以及相应的源码演示
大家请看Java的序列化结构有不足的地方请指教也希望指出不足的地方。
java序列化和反序列化java序列化和反序列化java序列化和反序列化
java反序列化工具,覆盖jboss、weblogic、websphere。
Xson是一个Java对象序列化和反序列化程序。支持Java对象到字节数组的序列化,和从字节数组到Java对象的反序列化。 Maven: <groupId>com.github.xsonorg</groupId> <artifactId>xson-core <version>1.0.1 ...
java 序列化详细解释 很详细 适用于高级软件开发者
java序列化(Serializable)的作用和反序列化.doc 有详细的讲解哦。 在什么地方用的到都有说明的.
序列化是干什么的? 简单说就是为了保存在内存中的各种对象的状态(也就是实例...虽然你可以用你自己的各种各样的方法来保 存object states,但是Java给你提供一种应该比你自己好的保存对象状态的机制,那就是序列化。
在应用java进行c-s开发的时候,尤其涉及到图片和视频之间的传输时,需要用序列化和反序列化技术,希望对您有帮助
java序列化代码示例,详细讲解序列化作用于使用注意规则项!!!
将java数据 序列化成PHP的格式 a:4:{s:6:"title2";s:13:"这是标题2";s:6:"title3";s:13:"这是标题3";s:5:"title";s:13:"这是标题1";s:6:"title4";s:13:"这是标题4";} 或者a:1:{i:0;a:1:{s:4:"name";s:10:"这是1321";...
java 对象的序列化与反序列化 java 对象的序列化与反序列化
Java序列化与反序列化 Java序列化与反序列化 Java序列化与反序列化 Java序列化与反序列化 Java序列化与反序列化
java 常用序列化和反序列化框架使用demo ,java 常用序列化和反序列化框架使用demo
java 序列化,java 序列化,java 序列化,java 序列化,java 序列化,java 序列化
java对象 java序列化 java反序列化
这是Java序列化标准规范,对于研究序列化源码能够提供指导作用,为深入研究Java序列技术奠定基础。
android(包括java)序列化一个对象传给php去做处理,或是接到php的序列化的对象在java中做处理的工具jar包以及使用方法. 使用方法: byte[] b = null; b = PHPSerializer.serialize(一个对象);//将一个对象序列化后返回...
java 的序列化与反序列化举例测试
该资源提供了java常见的三个序列化框架,分别是:JBoss Marshalling,messagePack,protobuf-java