readresolve方法只能抛objectstreamexception或其子类，因为objectinputstream仅识别该异常体系来终止反序列化并保留语义；推荐使用invalidobjectexception，抛出runtimeexception或exception会导致异常被忽略或编译错误。
在 Java 序列化中，readResolve 方法用于替换反序列化过程中创建的对象（常用于单例、不可变对象等场景）。当检测到非法破坏（如试图绕过单例约束、构造非法状态）时，不能直接抛出任意异常 —— 必须抛出 ObjectStreamException 或其子类，否则 JVM 会忽略该异常或抛出 InvalidObjectException（由反序列化机制自动包装），但语义不清晰，且可能掩盖真实意图。
为什么只能抛 ObjectStreamException？
Java 反序列化引擎（ObjectInputStream）在调用 readResolve 后，会捕获所有抛出的异常。若异常不是 ObjectStreamException 的实例，它将被静默吞掉或转为 InvalidObjectException，导致你无法精准控制错误类型和消息。只有显式抛出 ObjectStreamException（如 InvalidObjectException、NotSerializableException 等子类），才能让异常穿透并终止反序列化流程，同时保留业务语义。
推荐做法：抛出 InvalidObjectException
InvalidObjectException 是 ObjectStreamException 的标准子类，专为“反序列化对象非法”场景设计，语义明确、兼容性好。示例：
private Object readResolve() throws ObjectStreamException {
if (!isValidState()) {
throw new InvalidObjectException("Illegal state detected: singleton invariant violated");
}
return INSTANCE;
}
常见非法破坏检测点
在 readResolve 中可检查以下典型问题：
-
单例被绕过：检查当前对象是否与已存在的唯一实例相等（或用
==比较引用），若不一致则视为伪造实例 - 字段非法值：如 final 字段被反射篡改、枚举常量被非法替换、不可变对象的内部状态被污染
-
校验签名或哈希：对序列化字节流做完整性校验（需配合自定义
writeReplace和签名逻辑） - 版本不兼容：检查序列化 UID 或自定义版本字段，拒绝旧/新格式的恶意混用
注意：不要抛 RuntimeException 或 Exception
虽然编译器允许你抛出 RuntimeException（如 IllegalArgumentException），但 JVM 不会将其视为反序列化失败信号，而是可能继续执行或抛出模糊的 InvalidClassException。同样，抛出普通 Exception 会导致编译错误（因为 readResolve 声明只允许 ObjectStreamException）。
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
