transient关键字仅在java原生序列化（objectoutputstream/objectinputstream）中生效，要求类实现serializable且字段为非static、非final实例变量；对json、数据库、日志、调试等完全无效，不能替代分层安全设计。
transient 关键字只能阻止字段参与 Java 原生序列化（即 ObjectOutputStream/ObjectInputStream 流），它不加密、不删除、也不影响其他任何形式的数据持久化。真正起作用的前提很明确：类必须实现 Serializable，字段必须是非 static、非 final 的实例变量。
怎么写才生效
在字段声明前加 transient 即可：
-
private transient String password;→ 反序列化后值为null -
private transient int loginCount;→ 反序列化后值为0 -
private static transient String cacheKey;→ 冗余，static本就不序列化 -
private final transient String salt;→ 不推荐，语义混乱，final字段若已初始化仍可能被序列化
它管不了哪些场景
transient 对以下常见操作完全无效，不能当作“安全开关”：
-
JSON 响应：Spring Boot 的
@ResponseBody默认用 Jackson，无视transient；需改用@JsonIgnore或开启MapperFeature.USE_TRANSIENT_ANNOTATION -
数据库持久化：JPA 中该字段是否入库，取决于
@Column、@Transient等映射注解，和transient关键字无关 -
日志和调试：
toString()、IDE 调试器、堆转储（heap dump）照常显示明文，需重写toString()或改用char[]并及时清空 -
HTTP 请求体绑定：Spring 的
@RequestBody是通过反射+类型转换完成的，与序列化机制无关
怎么配合自定义序列化增强控制
如果需要更精细处理（比如序列化前加密、反序列化后重建），可以结合 transient 和手动序列化方法：
- 把敏感字段声明为
transient - 重写
private void writeObject(ObjectOutputStream out)，调用out.defaultWriteObject()处理其余字段，再手动写出脱敏值（如哈希或加密结果） - 重写
private void readObject(ObjectInputStream in)，先调用in.defaultReadObject()，再按需恢复或保持为null
更靠谱的替代或补充方案
单靠 transient 已无法满足现代应用的安全要求，建议分层设防：
-
DTO 隔离：返回给前端的对象（如
UserResponse）根本不声明password字段 -
注解优先：Jackson 用
@JsonIgnore，Fastjson 用@JSONField(serialize = false)，Gson 用@Expose(serialize = false) - 存储层防护：密码必须哈希加盐后存库，内存中避免长期保留明文
-
构建时检查：CI 流程中用 SpotBugs 检测
Serializable类中未保护的敏感字段
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
