Java 并发环境下对象序列化与修改的安全实践

千宇君_9976

千宇君_9976

2026-11-09

149人浏览

原创

Java 并发环境下对象序列化与修改的安全实践

java 中对象的序列化与字段修改若在多线程下无同步保障,将导致不可预测的行为——既无隐式锁、无内存可见性保证,也无执行顺序约束;其结果取决于 jvm 内存模型中的“恶币”(evil coin)随机性,而非代码书写顺序。

java 中对象的序列化与字段修改若在多线程下无同步保障,将导致不可预测的行为——既无隐式锁、无内存可见性保证,也无执行顺序约束;其结果取决于 jvm 内存模型中的“恶币”(evil coin)随机性,而非代码书写顺序。

在 Java 并发编程中,对象序列化(如 ObjectOutputStream)与业务逻辑中的字段修改(如调用 setter)本质上是完全独立且无协调机制的两个操作。二者若未经显式同步并发执行,将直接落入 Java 内存模型(JMM)未定义行为的灰色地带——这不是“可能出错”,而是“必然不可靠”,且无法通过测试穷举验证。

? 核心事实:不存在隐式同步,也没有对象级锁

Java 语言规范中不存在“对对象加锁”的概念。synchronized(obj) 并非锁定 obj 本身,而只是建立一个以 obj 为监视器(monitor)的临界区协议:仅当多个线程都使用同一监视器进入 synchronized 块时,才构成互斥。序列化过程(writeObject())内部不执行任何 synchronized(this) 或等效同步操作,也不会声明 volatile 字段、不发布 HB(Happens-Before)关系。因此:

  • ✅ 序列化不会阻塞 setter 调用,setter 也不会等待序列化完成;
  • ❌ 二者可完全并行执行,但无任何内存可见性或执行顺序保证;
  • ⚠️ 这不是“性能问题”,而是语义层面的根本缺陷:程序行为已脱离开发者控制。

? 示例:危险的并发读写

考虑如下典型场景:

public class Counter implements Serializable {
    private int value = 0;

    public void increment() { value++; }
    public int getValue() { return value; }
}

// 线程 A:持续修改
new Thread(() -> {
    while (running) {
        counter.increment(); // 非原子、无同步
        Thread.sleep(1);
    }
}).start();

// 线程 B:并发序列化
new Thread(() -> {
    try (ObjectOutputStream oos = new ObjectOutputStream(
             new FileOutputStream("counter.ser"))) {
        oos.writeObject(counter); // 无同步,无 HB 关系
    }
}).start();

此时,序列化结果可能是:

Java调试
Java调试

通过 JDWP 实现 Java 远程调试:连接远程 JVM、设置断点、单步执行代码、查看变量值、获取调用栈。适用于需要调试远程 Java 应用、排查运行时状态、追踪代码执行流程的场景。 术语注解 JDWP:Java Debug Wire Protocol,Java 调试有线协议(Java 远程调试底层通信协议) remote JVM:远程 Java 虚拟机 step through code:代码单步调试(步入 / 步过 / 步出调试) inspect variables:变量查看 / 变量检视 stac

下载
  • value = 42(修改前旧值),
  • value = 105(修改后新值),
  • 甚至出现 “撕裂”(torn)状态(如 value 是 long 或引用类型时,高位/低位、部分字段被更新而另一些未更新)。

这些结果均符合 JVM 规范——因为 JMM 明确允许:在缺乏 HB 关系时,一个线程对字段的写入,对另一线程是否可见、何时可见、是否部分可见,均由底层硬件与 JVM 实现“自由裁量”。

⚙️ 性能影响的本质:HB 的代价即正确性的成本

有人误以为“序列化慢所以会影响 setter”,实则因果倒置:
真正影响 setter 性能的,是为确保线程安全而引入的同步机制(如 synchronized、ReentrantLock、volatile),而非序列化本身。
例如,若强制要求序列化与修改互斥:

public class SafeCounter implements Serializable {
    private volatile int value = 0;

    public synchronized void increment() { 
        value++; 
    }

    public synchronized void serializeTo(OutputStream out) throws IOException {
        try (ObjectOutputStream oos = new ObjectOutputStream(out)) {
            oos.writeObject(this);
        }
    }
}

此时性能下降源于 synchronized 块的锁竞争与内存屏障开销(跨 CPU 核同步需数千周期),这是为换取确定性行为所必须支付的代价。若省略同步,则看似“快”,实则产出的数据毫无业务意义。

✅ 正确实践:隔离 + 显式同步 + 替代方案

原则 具体做法
避免共享可变状态 将待序列化的数据建模为不可变对象(record 或 final 字段类),修改时创建新实例,序列化只作用于快照。
显式同步临界区 若必须复用可变对象,所有访问(含序列化)统一通过同一锁保护:
synchronized(counter) { oos.writeObject(counter); }
选用更健壮的序列化协议 强烈建议弃用 java.io.Serializable。改用 Protobuf、Jackson JSON、Avro 等明确版本兼容、跨语言、无隐藏状态依赖的格式。它们天然规避了 Java 序列化与 JVM 内存模型的耦合风险。
用消息传递替代共享内存 通过 BlockingQueue、ConcurrentLinkedQueue 或 Actor 模型传递数据副本,彻底消除多线程直接读写同一对象的场景。

? 总结

  • 序列化 ≠ 锁,也不提供任何并发安全保证;
  • 并发修改 + 并发序列化 = 未定义行为(evil coin),测试无法覆盖所有硬件/JVM 组合下的随机性;
  • 性能瓶颈不在序列化本身,而在构建 HB 关系所需的同步开销——这是正确性的必要投资;
  • 根本解法是架构层面规避共享可变状态,辅以现代序列化工具和明确的线程通信契约。

记住:在并发世界里,“它在我机器上跑通了”不是正确性的证据,而是灾难的倒计时。真正的鲁棒性,始于对 Java 内存模型的敬畏,成于对 Happens-Before 关系的精确掌控。

Java免费学习笔记:立即使用
解锁 Java 大师之旅:从入门到精通的终极指南

相关文章

PHP速学视频免费教程(入门到精通)
PHP速学视频免费教程(入门到精通)

PHP怎么学习?PHP怎么入门?PHP在哪学?PHP怎么学才快?不用担心,这里为大家提供了PHP速学教程(入门到精通),有需要的小伙伴保存下载就能学习啦!

下载

相关标签:

java

本站声明:本文内容由网友自发贡献,版权归原作者所有,本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容,请联系admin@php.cn

相关专题

更多
java
java

Java是一个通用术语,用于表示Java软件及其组件,包括“Java运行时环境 (JRE)”、“Java虚拟机 (JVM)”以及“插件”。php中文网还为大家带了Java相关下载资源、相关课程以及相关文章等内容,供大家免费下载使用。

2023.06.15

12237

6

java正则表达式语法
java正则表达式语法

java正则表达式语法是一种模式匹配工具,它非常有用,可以在处理文本和字符串时快速地查找、替换、验证和提取特定的模式和数据。本专题提供java正则表达式语法的相关文章、下载和专题,供大家免费下载体验。

2023.07.05

9322

9

java自学难吗
java自学难吗

Java自学并不难。Java语言相对于其他一些编程语言而言,有着较为简洁和易读的语法,本专题为大家提供java自学难吗相关的文章,大家可以免费体验。

2023.07.31

7952

8

java配置jdk环境变量
java配置jdk环境变量

Java是一种广泛使用的高级编程语言,用于开发各种类型的应用程序。为了能够在计算机上正确运行和编译Java代码,需要正确配置Java Development Kit(JDK)环境变量。php中文网给大家带来了相关的教程以及文章,欢迎大家前来阅读学习。

2023.08.01

1284

3

java保留两位小数
java保留两位小数

Java是一种广泛应用于编程领域的高级编程语言。在Java中,保留两位小数是指在进行数值计算或输出时,限制小数部分只有两位有效数字,并将多余的位数进行四舍五入或截取。php中文网给大家带来了相关的教程以及文章,欢迎大家前来阅读学习。

2023.08.02

1028

3

java基本数据类型
java基本数据类型

java基本数据类型有:1、byte;2、short;3、int;4、long;5、float;6、double;7、char;8、boolean。本专题为大家提供java基本数据类型的相关的文章、下载、课程内容,供大家免费下载体验。

2023.08.02

1536

5

java有什么用
java有什么用

java可以开发应用程序、移动应用、Web应用、企业级应用、嵌入式系统等方面。本专题为大家提供java有什么用的相关的文章、下载、课程内容,供大家免费下载体验。

2023.08.02

3209

5

java在线网站
java在线网站

Java在线网站是指提供Java编程学习、实践和交流平台的网络服务。近年来,随着Java语言在软件开发领域的广泛应用,越来越多的人对Java编程感兴趣,并希望能够通过在线网站来学习和提高自己的Java编程技能。php中文网给大家带来了相关的视频、教程以及文章,欢迎大家前来学习阅读和下载。

2023.08.03

20451

3

配置java环境变量
配置java环境变量

配置Java环境变量是为了让操作系统能够识别和使用Java的相关命令和功能。本专题为大家提供配置java环境变量相关文章,帮助大家解决问题。

2023.08.03

1395

8

热门下载

更多
网站特效
/
网站源码
/
网站素材
/
前端模板

精品课程

更多
相关推荐
/
热门推荐
/
最新课程
dev.java 官方:Learn Java
dev.java 官方:Learn Java

共0课时 | 0人学习

Java JDBC数据库连接官方教程
Java JDBC数据库连接官方教程

共0课时 | 0人学习