序列化和反序列化理解

其实作为一名程序员，必须要知道序列化和 反序列化 的概念，因为它是在工作中非常常见的概念。

什么是序列化？反序列化？

Java 序列化就是指将对象转换为字节序列的过程，而反序列化则是只将字节序列转换成目标对象的过程。

seriallization 序列化 ： 将对象转化为便于传输的格式， 常见的序列化格式：二进制格式，字节数组，json字符串，xml字符串。
deseriallization 反序列化：将序列化的数据恢复为对象的过程。

举个例子：
比如：现在我们都会在淘宝上买桌子，桌子这种很不规则不东西，该怎么从一个城市运输到另一个城市，这时候一般都会把它拆掉成板子，再装到箱子里面，就可以快递寄出去了，这个过程就类似我们的序列化的过程（把数据转化为可以存储或者传输的形式）。当买家收到货后，就需要自己把这些板子组装成桌子的样子，这个过程就像反序列 的过程（转化成当初的数据对象）。

为什么要序列化？

我们都知道，在进行浏览器访问的时候，我们看到的文本、图片、音频、视频等都是通过二进制序列进行传输的，那么如果我们需要将Java对象进行传输的时候，是不是也应该先将对象进行序列化？答案是肯定的，我们需要先将Java对象进行序列化，然后通过网络，IO进行传输，当到达目的地之后，再进行反序列化获取到我们想要的对象，最后完成通信。

通过上面我想你已经知道了凡是需要进行“跨平台存储”和”网络传输”的数据，都需要进行序列化。

本质上存储和网络传输都需要经过把一个对象状态保存成一种跨平台识别的字节格式，然后其他的平台才可以通过字节信息解析还原对象信息。

例子：

        //创建student对象
        Student student = new Student(1,"1234","小明");

        //序列化
        byte[] bytes = toBytes(student);
        System.out.println(bytes.length);

        //反序列化
        Student student0 = (Student) toObj(bytes);
        System.out.println(student0);

输出结果:

111
Student{id=1, code='1234', name='小明'}

不过我个人觉得，这样序列化为二进制格式，对于可视化的体验就很差了，如果这样存到库里，那这个具体是个什么鬼，就一眼看不出来了。

以某种存储形式使自定义对象持久化。（对象随着程序的运行而被创建，然后在不可达时被回收，生命周期是短暂的。但是如果我们想长久地把对象的内容保存起来怎么办呢？把它转化为字节序列保存在存储介质上即可。那就需要序列化。）

总结下序列化的目的：

将对象从一个地方传递到另一个地方（网络传输）。（所有可在网络上传输的对象都必须是可序列化的，比如RMI（remote method invoke，即远程方法调用），传入的参数或返回的对象都是可序列化的，否则会出错；所有需要保存到磁盘的java对象都必须是可序列化的。）

其实序列化最终的目的是为了对象可以跨平台存储，和进行网络传输。而我们进行跨平台存储和网络传输的方式就是IO，而我们的IO支持的数据格式就是字节数组。

因为我们单方面的只把对象转成字节数组还不行，因为没有规则的字节数组我们是没办法把对象的本来面目还原回来的，所以我们必须在把对象转成字节数组的时候就制定一种规则（序列化），那么我们从IO流里面读出数据的时候再以这种规则把对象还原回来（反序列化）。

例如：如果我们要把一栋房子从一个地方运输到另一个地方去，序列化就是我把房子拆成一个个的砖块放到车子里，然后留下一张房子原来结构的图纸，反序列化就是我们把房子运输到了目的地以后，根据图纸把一块块砖头还原成房子原来面目的过程。

如何实现序列化

序列化只是一种拆装组装对象的规则，那么这种规则肯定也可能有多种多样。

目前JAVA常用的序列化有Protostuff，JSON，Jackson，XML，Serializable，Hessian，Kryo（不支持跨语言）。

介绍下Jackson

Java下常见的Json类库有Gson、JSON-lib和Jackson等，Jackson相对来说比较高效，在项目中主要使用Jackson进行JSON和Java对象转换，下面给出一些Jackson的JSON操作方法。

jackson类库的JSON操作方法：ObjectMapper

* ObjectMapper是JSON操作的核心，Jackson的所有JSON操作都是在ObjectMapper中实现。 
* ObjectMapper有多个JSON序列化的方法，可以把JSON字符串保存File、OutputStream等不同的介质中。 
* writeValue(File arg0, Object arg1)把arg1转成json序列，并保存到arg0文件中。 
* writeValue(OutputStream arg0, Object arg1)把arg1转成json序列，并保存到arg0输出流中。 
* writeValueAsBytes(Object arg0)把arg0转成json序列，并把结果输出成字节数组。 
* writeValueAsString(Object arg0)把arg0转成json序列，并把结果输出成字符串。

所以，一般会将某个对象或者数组变成json字符串，存放在数据库中，举个栗子：

java 对象转JSON（JSON序列化）

//JSON序列化和反序列化使用的User类 
public class User {  
    private String name;  
    private Integer age;  
    private Date birthday;  
    private String email;
}

import java.io.IOException;  
import java.text.ParseException;  
import java.text.SimpleDateFormat;  
  
import com.fasterxml.jackson.databind.ObjectMapper;  
  
public class JacksonDemo {
        User user = new User();  
        user.setName("小民");   
        user.setEmail("xiaomin@sina.com");  
        user.setAge(20);  
          
        SimpleDateFormat dateformat = new SimpleDateFormat("yyyy-MM-dd");  
        user.setBirthday(dateformat.parse("1996-10-01"));  
        ObjectMapper mapper = new ObjectMapper();  
          
        //User类转JSON  ： 序列化为JSON字符串序列
        //输出结果：{"name":"小民","age":20,"birthday":844099200000,"email":"xiaomin@sina.com"}  
        String json = mapper.writeValueAsString(user);  
        System.out.println(json);  
          
        //Java集合转JSON  
        //输出结果：[{"name":"小民","age":20,"birthday":844099200000,"email":"xiaomin@sina.com"}]  
        List<User> users = new ArrayList<User>();  
        users.add(user);  
        String jsonlist = mapper.writeValueAsString(users);  
        System.out.println(jsonlist);  
       }

    }

JSON转Java类[JSON反序列化]

import java.io.IOException;  
import java.text.ParseException;  
import com.fasterxml.jackson.databind.ObjectMapper;  
  
public class JacksonDemo {  
    public static void main(String[] args) throws ParseException, IOException {  
        String json = "{\"name\":\"小民\",\"age\":20,\"birthday\":844099200000,\"email\":\"xiaomin@sina.com\"}";  
          
        /** 
         * ObjectMapper支持从byte[]、File、InputStream、字符串等数据的JSON反序列化。 
         */  
        ObjectMapper mapper = new ObjectMapper();  
        User user = mapper.readValue(json, User.class);  
        System.out.println(user);  
    }  
}

字符串数组序列化和反序列化：

import com.fasterxml.jackson.databind.ObjectMapper;

ObjectMapper objectMapper = new ObjectMapper();
String[] originStrArray = {"a", "b","b"};
// json 序列化为json格式的字符串序列
String  str = objectMapper.writeValueAsString(originStrArray);
System.out.println(str);

// 反序列化为字符串数组
String[] originStrArray  = objectMapper.readValue(strArray, String[].class);
System.out.println(originStrArray.length);

如何保证序列化和反序列化后的对象一致？

对于这个问题我在查阅了一些资料之后，发现并不能保证序列化和反序列化之后的对象是一致的，因为我们在反序列化的过程中，是先创建一个对象，然后再通过对对象进行赋值来完成对象的反序列化，这样问题就来了，在创建了一个新的对象之后，对象引用和原本的对象并不是指向同一个目标。因此我们只能保证他们的数据和版本一致，并不能保证对象一致。

序列化的注意事项

序列化使其他代码可以查看或修改那些不序列化便无法访问的对象实例数据。因此，代码执行序列化需要特殊的权限：即指定了 SerializationFormatter 标志的 SecurityPermission。在默认策略下，通过 Internet 下载的代码或 Internet 代码不会授予该权限；只有本地计算机上的代码才被授予该权限。

通常，对象实例的所有字段都会被序列化，这意味着数据会被表示为实例的序列化数据。这样，能够解释该格式的代码有可能能够确定这些数据的值，而不依赖于该成员的可访问性。类似地，反序列化从序列化的表示形式中提取数据，并直接设置对象状态，这也与可访问性规则无关。

对于任何可能包含重要的安全性数据的对象，如果可能，应该使该对象不可序列化。如果它必须为可序列化的，请尝试生成特定字段来保存不可序列化的重要数据。如果无法实现这一点，则应注意该数据会被公开给任何拥有序列化权限的代码，并确保不让任何恶意代码获得该权限。

反序列化是一系列安全问题的根源：攻击者能够将恶意数据序列化并存储到数据库或内存中，当应用进行反序列化时，应用会执行到恶意代码。

对序列化对象执行完整性检查或加密，以防止恶意对象创建或数据篡改；最常见的例子之一就是JWT:JWT由3部分组成：Header，Payload，Verify Signature，最后的签名部分其实就是对数据进行完整性校验的关键部分，用secret对数据部分进行哈希计算，随后检查计算出来的哈希值是否和请求中的JWT签名部分的哈希值相同。若两者一致则认为数据完整性没有被破坏，若两者有差异则说明数据被修改过。

在创建对象之前强制执行严格的类型约束。

隔离反序列化的代码，使其在非常低的特权环境中运行。

记录反序列化的例外情况和失败信息，如：传入的类型不是预期的类型，或者反序列处理引发的例外情况。

限制或监视来自于容器或服务器传入和传出的反序列化网络连接。

监视反序列化行为，当用户持续进行反序列化时，对用户进行警告。

92IT

Just love IT.

序列化和反序列化理解