transient 关键字仅在 java 原生序列化中生效，用于跳过字段序列化并设默认值，但不加密、不防日志/json/数据库泄露；适用明文密码、缓存、不可序列化资源等场景，需满足实现 serializable、非 static/final、实际调用原生序列化三条件。
transient 关键字只在 Java 原生序列化（ObjectOutputStream/ObjectInputStream）中起作用，它让指定字段跳过序列化流程，反序列化后设为默认值（如 null、0、false）。但它不是安全开关，不加密、不隐藏内存值，也不影响日志、JSON、数据库或调试器。
哪些字段适合加 transient
加 transient 的前提是：该字段确实不该落盘或跨进程传输，且你正在用 JDK 默认序列化机制。典型适用场景包括：
- 明文密码、临时 token、API 密钥等字符串（注意：反序列化后为
null，业务需自行处理） - 运行时缓存结果，例如
private transient int cachedHashCode - 不可序列化的资源对象，如
private transient Logger logger或private transient Connection dbConn - 线程局部上下文，如
private transient ThreadLocal<string> traceId</string>
怎么写才有效
必须满足三个条件，transient 才真正生效：
Alibabacloud Sdk Client Initialization For Java
下载
在 Java 中初始化和管理阿里云 SDK客户端。包括单例模式、线程安全、endpoint 与 region 配置、VPC 终端节点、同步与异步等。
- 类实现
Serializable接口 - 字段是实例变量（不能是
static或final；static本就不序列化，加 transient 是冗余） - 你确实在调用
ObjectOutputStream.writeObject()或类似原生序列化操作
示例写法：
public class User implements Serializable {
private static final long serialVersionUID = 1L;
private String username;
private transient String password; // 序列化时被跳过
private transient Token sessionToken; // 假设 Token 类未实现 Serializable
}
为什么加了 transient 还是泄露了
常见“失效”不是关键字没起作用，而是你根本没走它管的那条路：
-
JSON 返回（如 Spring Boot @ResponseBody）：Jackson/Gson 默认无视 transient，需显式配置或改用
@JsonIgnore/@Expose(serialize = false) -
日志打印：日志调的是
toString()或反射读取，和序列化无关；必须重写toString()或用 Lombok 的@ToString(exclude = "password") - 数据库或 HTTP 请求体：JPA、MyBatis、Feign 等完全不看 transient，它们走自己的映射逻辑
-
自定义 writeObject()：若你在该方法里手动写了
out.writeUTF(password)，transient 就被绕过了
比 transient 更靠谱的做法
现代 Java 应用中，仅靠 transient 已远远不够。真正防泄露靠的是分层设计：
-
DTO 隔离：API 响应绝不直接返回实体类，而是用专用 DTO（如
UserResponse），里面根本不存在password字段 -
序列化注解明确控制：Jackson 用
@JsonIgnore，Fastjson 用@JSONField(serialize = false)，语义清晰且可审计 -
敏感数据内存管理：密码优先用
char[]，使用后立即Arrays.fill(pwd, '\0')清空 -
CI 自动检查：用 SpotBugs 规则
SE_BAD_FIELD扫描Serializable类中未保护的敏感字段
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
