流程控制不能直接防止反序列化指针偏移越界，但可在反序列化前校验字节流结构、中启用objectinputfilter白名单、后做防御性拷贝与范围检查，并优先迁移至json/protobuf等更安全协议。
流程控制本身不能直接防止反序列化过程中的指针偏移越界错误，因为这类错误（如 ArrayIndexOutOfBoundsException、StreamCorruptedException）通常发生在 ObjectInputStream 解析字节流的底层协议阶段，而非 Java 代码逻辑可干预的执行路径中。但你可以在**反序列化前、后及上下文环节**，通过严谨的流程控制显著规避因偏移误用导致的越界问题。
反序列化前：校验字节流结构与边界
很多“指针偏移越界”实际源于对原始字节数组的非法访问（比如手动解析包头后调用 System.arraycopy 或 ByteBuffer.get()），而非反序列化机制本身出错。此时必须在调用 readObject() 前完成结构校验：
- 检查完整字节数组长度是否满足最小协议头 + 有效载荷长度
- 若协议含长度字段（如前4字节为 payload 长度），先安全读取并验证：
int len = ByteBuffer.wrap(data, 0, 4).getInt();
if (len data.length - 4) throw new IllegalArgumentException("invalid length"); - 仅当校验通过后，才提取 payload 子数组（例如用
Arrays.copyOfRange(data, 4, 4 + len)或带边界的arraycopy）
反序列化中：启用序列化过滤器防御恶意输入
恶意构造的序列化数据可能触发反序列化链中的越界访问（如某些 gadget 类在 readObject 中执行不安全数组操作）。Java 9+ 提供了 ObjectInputFilter 机制，可通过流程控制限制可反序列化的类：
- 创建白名单过滤器：
ObjectInputFilter filter = ObjectInputFilter.Config.createFilter("com.example.SafeClass;!*"); - 在构建
ObjectInputStream后立即设置：
ois.setObjectInputFilter(filter); - 若检测到非法类，
readObject()将抛IOException而非让危险逻辑执行到越界点
反序列化后：防御性拷贝与空值/范围检查
即使反序列化成功，返回的对象（尤其是数组、集合或含 byte[] 字段的类）可能包含不合法内容。此时需在业务逻辑入口做二次防护：
- 对反序列化得到的数组字段，先检查非 null 且长度合理：
if (obj.data == null || obj.data.length == 0 || obj.data.length > MAX_ALLOWED_SIZE) { throw ... } - 若需对外提供数组副本，用
arraycopy做浅拷贝（注意：对象数组仍共享引用，需深拷贝逻辑） - 避免直接将反序列化结果传入底层 native 方法或 JNI 接口——这些接口常假设输入已校验，易因越界触发 JVM crash
替代方案：优先使用更安全的序列化协议
Java 原生序列化协议复杂、脆弱，指针偏移逻辑完全由 JVM 内部维护，不可控。长期来看，应通过流程控制逐步迁移：
- 新模块默认采用 JSON（Jackson/Gson）、Protocol Buffers 或 CBOR 等显式 schema 协议
- 这些格式解析时天然具备字段边界检查、类型校验、深度/大小限制等能力（如 Jackson 的
DeserializationFeature.FAIL_ON_INVALID_SUBTYPE） - 配合 HTTP/REST 或 gRPC 等传输层，天然隔离字节流解析风险
