什么是Java序列化？它有什么用途？

Java序列化（Serialization）是将Java对象转换为字节流的过程，反序列化（Deserialization）则是将字节流恢复为Java对象的过程。Java的序列化机制使得对象的持久化和跨网络传输成为可能。

Java序列化的用途

持久化存储：序列化可以将对象的状态保存到磁盘文件中，从而实现对象的持久化。当程序再次运行时，可以通过反序列化恢复对象的状态。
网络传输：在分布式系统中，序列化可以将对象从一个Java虚拟机（JVM）传输到另一个JVM。通过网络传输字节流，实现对象在不同JVM之间的通信。
深度复制：序列化和反序列化可以实现对象的深度复制（deep copy），即创建一个对象的完全独立的副本，包括所有嵌套的对象。
缓存：序列化可以用于缓存对象的状态，将对象序列化后存储在内存或磁盘中，后续可以通过反序列化快速恢复对象。

Java序列化的基本使用

实现Serializable接口：要使一个类可序列化，该类必须实现java.io.Serializable接口。

import java.io.Serializable;public class Person implements Serializable {private static final long serialVersionUID = 1L; // 序列化版本号private String name;private int age;// getters and setters
}

序列化对象：

import java.io.FileOutputStream;
import java.io.ObjectOutputStream;public class SerializeExample {public static void main(String[] args) {Person person = new Person();person.setName("Alice");person.setAge(30);try (FileOutputStream fileOut = new FileOutputStream("person.ser");ObjectOutputStream out = new ObjectOutputStream(fileOut)) {out.writeObject(person);} catch (Exception e) {e.printStackTrace();}}
}

反序列化对象：

import java.io.FileInputStream;
import java.io.ObjectInputStream;public class DeserializeExample {public static void main(String[] args) {Person person = null;try (FileInputStream fileIn = new FileInputStream("person.ser");ObjectInputStream in = new ObjectInputStream(fileIn)) {person = (Person) in.readObject();} catch (Exception e) {e.printStackTrace();}if (person != null) {System.out.println("Name: " + person.getName());System.out.println("Age: " + person.getAge());}}
}

序列化的注意事项

serialVersionUID：每个可序列化的类都应当显式声明一个serialVersionUID，以确保在反序列化时类的一致性。如果类发生修改但serialVersionUID没有改变，可能导致反序列化失败。
对象图的完整性：序列化不仅会序列化对象本身，还会递归地序列化该对象引用的所有对象。这意味着对象图中的所有对象都必须是可序列化的。
transient关键字：不希望被序列化的字段可以使用transient关键字修饰，这样这些字段在序列化时将不会被包括在内。
安全性问题：反序列化过程可能存在安全风险，特别是在从不可信来源接收数据时，可能导致反序列化漏洞（如反序列化炸弹、恶意代码执行等）。应谨慎处理反序列化数据并进行必要的安全检查。