transient 关键字使字段不参与 java 原生序列化，反序列化后为默认值；但对 json 序列化无效，且不提供安全保护，仅跳过序列化。
transient 关键字在 Java 序列化中起什么作用
transient 是 Java 中用于标记字段的修饰符，它告诉 JVM：该字段**不参与默认的序列化过程**。当一个类实现了 Serializable 接口，且其中某个字段被声明为 transient，那么在调用 ObjectOutputStream.writeObject() 时，这个字段的值不会被写入字节流；反序列化时，该字段会被初始化为对应类型的默认值（如 null、0、false）。
它不是加密，也不是访问控制，只是“跳过序列化”——这是它最常被误解的一点。如果你需要真正保护敏感数据（比如密码、token），仅靠 transient 不够，因为：
- 它对 JSON 序列化（如 Jackson、Gson）完全无效，除非额外配置
- 它不阻止反射读取、日志打印、调试器查看等其他泄露途径
- 它无法防止自定义
writeObject()方法里手动写入该字段
为什么加了 transient 还是被 Jackson 序列化出来了
这是最常见的踩坑场景：transient 只影响 Java 原生序列化（java.io.Serializable），而主流 JSON 库默认**无视** transient。Jackson 就是典型。
解决方法取决于你用的是哪个库：
- Jackson：默认不识别
transient，需显式启用：mapper.configure(MapperFeature.USE_TRANSIENT_ANNOTATION, true);
或者更推荐的方式——直接用@JsonIgnore注解字段 - Gson：默认也不识别，但可通过
GsonBuilder.excludeFieldsWithModifiers(Modifier.TRANSIENT)启用 - Spring Boot 默认用 Jackson，所以光加
transient对@ResponseBody返回 JSON 没用
transient 字段在反序列化后值一定是 null 吗
不一定。取决于字段类型和是否被显式赋值：
- 引用类型（如
String、List）→ 反序列化后为null - 基本类型（如
int、boolean）→ 反序列化后为默认值（0、false） - 如果类定义了
readObject(ObjectInputStream)，并在其中手动恢复了该字段，则值可能非空 - 如果字段是
static，本来就不会被序列化，加transient是冗余的
注意：transient 和 static 效果类似（都不序列化），但语义不同：static 属于类级别，transient 属于实例级别“暂不持久化”。
替代 transient 的更可靠方案有哪些
单纯依赖 transient 来“屏蔽敏感字段”，在现代 Java Web 开发中已经不够用了。更实际的做法是分层处理：
- DTO 层：用专门的响应对象（如
UserResponse），只包含需要返回的字段，根本不存在敏感字段 - 序列化层：Jackson 用
@JsonIgnore（字段级）、@JsonInclude(JsonInclude.Include.NON_NULL)（全局过滤）或SimpleBeanPropertyFilter（动态过滤） - 存储层：数据库字段加密（如使用 Jasypt、Hibernate Types）比序列化阶段拦截更治本
- 日志/监控：确保敏感字段不会出现在
toString()、SLF4J 的{}占位符或 APM 工具采样中
真正容易被忽略的点是：transient 只管“序列化输出”，不管“序列化输入”。如果攻击者构造恶意字节流反序列化到你的对象，仍可能绕过校验逻辑——这时候你需要的是 readObject() 中的手动校验，而不是寄希望于字段没被序列化。
