Java 对象序列化怎么通过自定义 writeObject 实现安全过滤-java教程-PHP中文网

writeobject 是 java 序列化中实现安全过滤最直接可控的机制，通过重写 private void writeobject(objectoutputstream) 可精细控制字段写入、敏感数据脱敏、跳过不可序列化资源，并需严格遵循签名约束。

java 对象序列化怎么通过自定义 writeobject 实现安全过滤

Java 对象序列化中，writeObject 是实现安全过滤最直接、最可控的机制之一——它不依赖外部库，也不改变类签名，而是由 JVM 在序列化时自动识别并调用，专用于精细控制哪些字段写入、如何处理敏感数据、是否跳过不可序列化资源。

为什么 writeObject 能做到安全过滤

默认序列化会无差别地保存所有非 transient、非静态字段，包括密码、连接句柄、缓存对象等高危内容。而重写 private void writeObject(ObjectOutputStream) 后，你可以：

完全绕过默认逻辑，只输出你认可的数据
对敏感字段做脱敏（如只存哈希值、空字符串或占位符）
跳过不可序列化字段（如 Thread、Socket），避免 NotSerializableException
插入校验逻辑，比如拒绝序列化未初始化或状态异常的对象

正确写法的关键约束

这个方法不是普通工具函数，JVM 只认特定签名，稍有偏差就失效，导致“看似正常，实则漏控”：

Kibana Saved Objects

通过 REST API 管理 Kibana 保存的对象（仪表板、Lens 可视化等）。适用于：① 以编程方式创建、更新、删除仪表板和 Lens 可视化。

下载

必须是 private，不能是 public 或 protected
参数类型必须严格为 ObjectOutputStream，不能是父类或自定义子类
返回类型必须是 void，不能加 static、final 或泛型修饰
异常声明可省略（因为 ObjectOutputStream.writeXXX() 已声明 IOException），但不能擅自改成 throws Exception

典型安全过滤写法示例

假设一个用户类含明文密码和临时缓存，需过滤密码、忽略缓存、保留其余字段：

private void writeObject(ObjectOutputStream out) throws IOException {
    // 1. 先写入所有常规字段（自动跳过 transient）
    out.defaultWriteObject();
    
    // 2. 手动处理敏感字段：只写密码哈希，不写原文
    out.writeUTF(Objects.nonNull(password) ? DigestUtils.md5Hex(password) : "");
    
    // 3. 完全跳过不可序列化的 cache 字段（它被声明为 transient，defaultWriteObject 已忽略）
    // 若未声明 transient，此处可跳过：不调用任何 write 方法即可
}

对应地，readObject 必须按相同顺序读取，并重建状态：

private void readObject(ObjectInputStream in) throws IOException, ClassNotFoundException {
    in.defaultReadObject();
    String hashed = in.readUTF();
    // 密码字段设为 null 或留空，不还原明文
    this.password = null;
}