Java 中怎么在序列化单例对象时配合 readResolve 方法防止反序列化破坏单例模式-java教程-PHP中文网

反序列化破坏单例是因为它绕过构造器、静态块等所有初始化逻辑，直接依据字节流填充字段，新建内存地址不同的对象；readResolve通过在反序列化完成后将新对象替换为已有实例（如return getInstance()）来确保==一致，要求类实现Serializable、方法为private Object readResolve()且返回已初始化的静态实例，但无法防御反射攻击；枚举单例则由JVM硬性保障，天然免疫。

java 中怎么在序列化单例对象时配合 readresolve 方法防止反序列化破坏单例模式

为什么反序列化会破坏单例

Java 默认反序列化不调用构造器、静态块或任何初始化逻辑，而是直接根据字节流填充字段，新建一个内存地址不同的对象。哪怕你用了静态内部类、双重检查锁等线程安全写法，ObjectInputStream 仍能绕过所有防护，生成第二个实例。结果就是：s1 == s2 返回 false，缓存、连接池等状态不共享，RPC 或 Redis 场景下极易出问题。

readResolve 的作用机制

它不是阻止反序列化，而是在反序列化“拼完对象”之后，把刚创建的新对象替换成你已有的单例实例。JVM 会在流程末尾自动检查并调用这个方法，确保最终返回的是同一个内存地址的对象。

必须声明为 private Object readResolve() throws ObjectStreamException
所在类必须实现 Serializable 接口
返回值必须是已初始化完成的静态单例（如 return INSTANCE; 或 return getInstance();）
修饰符不能是 public/protected/default —— 错了就完全不触发

推荐写法：静态内部类 + 构造校验 + readResolve

这样兼顾线程安全、延迟加载和多重防护：

public class Singleton implements Serializable {
    private static class Holder {
        static final Singleton INSTANCE = new Singleton();
    }

    private Singleton() {
        if (Holder.INSTANCE != null) {
            throw new RuntimeException("Singleton already initialized");
        }
    }

    public static Singleton getInstance() {
        return Holder.INSTANCE;
    }

    private Object readResolve() {
        return getInstance();
    }
}

关键点：INSTANCE 是 static final，由 JVM 类加载保证线程安全与提前就绪；构造器里加了非空判断，防反射攻击；readResolve 复用 getInstance()，避免直接引用 INSTANCE 导致 NPE。

Java调试

通过 JDWP 实现 Java 远程调试：连接远程 JVM、设置断点、单步执行代码、查看变量值、获取调用栈。适用于需要调试远程 Java 应用、排查运行时状态、追踪代码执行流程的场景。术语注解 JDWP：Java Debug Wire Protocol，Java 调试有线协议（Java 远程调试底层通信协议） remote JVM：远程 Java 虚拟机 step through code：代码单步调试（步入 / 步过 / 步出调试） inspect variables：变量查看 / 变量检视 stac

下载