java中排除敏感字段需按序列化机制选择方案：原生用transient；jackson用@jsonignore或@jsonignoreproperties；fastjson用@jsonfield(serialize=false)；根本防护是dto隔离与分层建模。

Java 中排除敏感字段不被序列化，不能只靠一种方式，得看用的是哪种序列化机制。不同场景下，有效手段完全不同。

原生 Java 序列化：用 transient 关键字

仅对 ObjectOutputStream / ObjectInputStream 有效，是 JDK 内置序列化的标准做法：

• 在字段前加 transient，如 private transient String password;
• 反序列化后该字段值为 null（基本类型为默认值），需业务逻辑自行处理
• 注意：transient 对 JSON、XML、日志打印、数据库操作完全无效

JSON 序列化（Jackson）：用 @JsonIgnore 或 @JsonIgnoreProperties

Spring Boot 默认使用 Jackson，这是最常见也最推荐的 Web 场景防护方式：

JavaStoryDevelop

你接手一个需求时，是不是经常这样："改一个小字段 → 结果把不相关的代码也改了"、"需求说得很模糊 → 做着做着发现跑偏了"、"数据库加个字段 → 上线才发现漏了数据兼容"、"做了个新功能 → 一个月后自己都忘了当时怎么设计的"、"写到一半被中断 → 再回来不知道从哪继续"；这个 Skill 就是专门解决这些问题的。 它会自动探测你的项目环境（JDK、Spring Boot、ORM、数据库、前端框架），记在

下载

• @JsonIgnore 标在字段或 getter 上，单字段屏蔽
• @JsonIgnoreProperties({"password", "idCard"}) 标在类上，批量屏蔽
• 支持更细粒度控制，比如只禁序列化、不禁反序列化（allowSetters = true）

FastJson 序列化：用 @JSONField(serialize = false)

若项目仍在使用 FastJson（尤其老系统），推荐直接注解控制：

• @JSONField(serialize = false) private String token;
• 也可配合 SimplePropertyPreFilter 动态过滤，适合运行时策略调整
• 注意字段名大小写：过滤器中指定的是 JSON key 名，不是 Java 属性名

根本性防护：分层建模 + DTO 隔离

比“加关键字”更可靠的做法，是从架构上避免敏感字段暴露：

• 数据库实体（PO）不直接返回给前端，而是定义专用响应类（DTO），里面根本不声明 password 字段
• 敏感字段如密钥、token 尽量用 char[] 存储，并在使用后立即清空
• CI 流程中接入 SpotBugs 检查 SE_BAD_FIELD，自动拦截未保护的敏感字段

Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南