transient关键字仅在java原生序列化（objectoutputstream/objectinputstream）中生效，用于跳过字段序列化，反序列化后置为默认值；它不防日志、json、内存泄露，需配合dto、注解等多层防护。
transient 关键字只在 Java 原生序列化（ObjectOutputStream/ObjectInputStream）中起作用，它不是安全开关，而是一个“跳过字段”的标记——仅告诉 JVM：这个字段别写进字节流，反序列化时也别恢复。
哪些字段适合加 transient
加之前先确认该字段是否真的不该落盘或跨进程传输：
- 明文密码、API 密钥、临时 token 等敏感字符串（注意：反序列化后为
null，业务需自行处理） - 运行时计算结果，如
private transient int cachedHashCode - 不可序列化的资源对象，例如
private transient Logger logger或private transient Connection conn - 线程局部上下文，如
private transient ThreadLocal<string> traceId</string>
怎么正确声明和使用
必须满足三个前提：类实现 Serializable、字段是实例变量、不能是 static 或 final（final 加 transient 编译通过但语义混乱，不推荐）：
示例：
public class User implements Serializable {<br> private static final long serialVersionUID = 1L;<br> private String username;<br> private transient String password;<br> private transient Token authToken;<br>}
序列化后反序列化，password 和 authToken 的值分别为 null 和 null，不会报错也不会泄露。
为什么加了 transient 还在日志或 JSON 里看到密码
因为日志打印的是内存实时值，JSON 库（如 Jackson）根本不看 transient：
-
logger.info("user: {}", user)触发toString()，若方法里拼了password，就直接打出来 - Spring Boot 的
@ResponseBody默认走 Jackson，它默认忽略transient——除非显式开启：mapper.configure(SerializationFeature.WRITE_TRANSIENT_FIELDS, false) - 更稳妥的方式是用注解：
@JsonIgnore（Jackson）、@JSONField(serialize = false)（Fastjson）、@Expose(serialize = false)（Gson）
真正管用的安全做法不是只靠 transient
它只是窄口径控制，生产环境必须分层隔离：
- 数据库实体与 API 响应体严格分离，用专用 DTO 类（如
UserResponse），里面根本不声明password - 敏感字段在内存中优先用
char[]，使用后立即调用Arrays.fill(pwd, '\0')清空 - CI 流程中用 SpotBugs 检查
SE_BAD_FIELD，自动发现未保护的敏感字段 - 若必须自定义序列化，配合
transient+private void writeObject()，只写脱敏摘要或跳过写入
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
