java对象序列化需手动加密敏感字段：声明transient跳过默认序列化，重写writeobject/readobject实现aes/gcm加解密，iv每次生成并随密文存储，密钥从配置中心加载，禁用ecb，配合serialversionuid和来源校验等纵深防御。
Java 对象序列化本身不提供加密能力，敏感字段必须通过主动干预序列化流程来保护。核心不是“配个开关”，而是接管 writeObject 和 readObject 的执行逻辑，对敏感字段做独立加解密，并确保密钥、IV、算法等关键要素安全可控。
用 transient + 自定义 writeObject/readObject 实现字段级加密
这是最常用也最可靠的方案：把敏感字段（如 password、idCard）声明为 transient，使其自动被默认序列化跳过；再在私有方法中手动加密写入。
- writeObject 中先调用
out.defaultWriteObject()写入所有非 transient 字段 - 接着对 transient 字段加密（推荐 AES/GCM），生成密文和随机 IV
- 按固定顺序写入：先写 IV（如 byte[12]），再写密文长度（int），最后写密文字节
- readObject 中严格按相同顺序读取、解密，并赋值给对应 transient 字段
密钥与 IV 必须动态管理，禁止硬编码
密钥写死在代码里等于没加密。实际部署中需做到：
Alibabacloud Sdk Client Initialization For Java
下载
在 Java 中初始化和管理阿里云 SDK客户端。包括单例模式、线程安全、endpoint 与 region 配置、VPC 终端节点、同步与异步等。
- 密钥不出现源码中，从环境变量、配置中心或密钥管理系统加载
- 若基于口令派生密钥，必须使用 PBKDF2 等函数并携带盐值（salt）
- IV 每次加密都重新生成，长度固定（GCM 推荐 12 字节），且必须随密文一起序列化
- 禁用 ECB 模式；优先选 AES/GCM（自带完整性校验），次选 AES/CBC + 单独 HMAC
配套加固措施不能少
仅加密字段还不够，还需结合其他机制形成纵深防御：
- 显式声明
serialVersionUID，避免类结构微调导致反序列化失败 - 敏感字段统一加
transient，强制自己在 writeObject 中显式处理，防止遗漏 - 反序列化前校验字节流来源可信，避免恶意构造的流触发任意代码执行
- 考虑在构造阶段就对敏感值做预加密（如用 AES 加密后存入 final 字段），而非依赖序列化时临时处理
注意和压缩、传输层加密的区别
字段级加密是语义层保护，和其它技术不互斥但目标不同：
- GZIP 压缩作用于整个序列化字节流，不解决明文暴露问题
- TLS/SSL 是传输层加密，只保管道安全，服务端解密后仍是明文
- 字段加密让敏感数据即使落到磁盘文件或被中间人截获字节流，也无法直接还原
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
