JAVA语言序列化和反序列化一目了然(二)加深

这次我们讲的是控制对象的序列化和反序列化

 

控制序列化就是有选择的序列化对象,而不是把对象的所以内容都序列化,前篇我们的例子中介绍了transit变量和类变量(static)不被序列化,现在我们还有一种更为灵活的控制对象序列化和反序列方法,可以在序列化过程中储存其他非this对象包含的数据

 

我们现在再来介绍一个接口 java.io.Externalizable 。当对象实现了这个接口时,就可以灵活的控制它的序列化和反序列过程,这个接口继承了java.io.Serializable

 

Externalizable 接口定义了两个方法,writerExternal方法在序列化时被调用,可以再该方法中控制序列化内容,readExternal方法在反序列时被调用,可以在该方法中控制反序列的内容

 

好了,现在我们改写上例的UserInfo

import java.io.*;
import java.util.*;

//本程序通过实现Externalizable接口控制对象序列化和反序列
public class UserInfo implements Externalizable {
	public String userName;
	public String userPass;
	public int userAge;

	public UserInfo(){
	}

	public UserInfo(String username,String userpass,int userage){
		this.userName=username;
		this.userPass=userpass;
		this.userAge=userage;
	}
	
	//当序列化对象时,该方法自动调用
	public void writeExternal(ObjectOutput out) throws IOException{
		System.out.println("现在执行序列化方法");
		//可以在序列化时写非自身的变量
		Date d=new Date();
		out.writeObject(d);
		//只序列化userName,userPass变量
		out.writeObject(userName);
		out.writeObject(userPass);
	}

	//当反序列化对象时,该方法自动调用
	public void readExternal(ObjectInput in) throws IOException,ClassNotFoundException{
		System.out.println("现在执行反序列化方法");
		Date d=(Date)in.readObject();
		System.out.println(d);
		this.userName=(String)in.readObject();
		this.userPass=(String)in.readObject();
	}

	public String toString(){
		return "用户名: "+this.userName+";密码:"+this.userPass+
			";年龄:"+this.userAge;
	}
}
 

改写测试类

import java.io.ObjectOutputStream;
import java.io.ObjectInputStream;
import java.io.FileInputStream;
import java.io.FileOutputStream;
import java.util.Date;
import java.lang.management.*;
public class Test {



	//序列化对象到文件
	public static void serialize(String fileName){
		try
		{
			//创建一个对象输出流,讲对象输出到文件
			ObjectOutputStream out=new ObjectOutputStream(new FileOutputStream(fileName));

			UserInfo user=new UserInfo("renyanwei","888888",20);
			out.writeObject(user);	//序列化一个会员对象

			out.close();
		}
		catch (Exception x)
		{
			System.out.println(x.toString());
		}
		
	}
	//从文件反序列化到对象
	public static void deserialize(String fileName){
		try
		{
			//创建一个对象输入流,从文件读取对象
			ObjectInputStream in=new ObjectInputStream(new FileInputStream(fileName));

			//读取UserInfo对象并调用它的toString()方法
			UserInfo user=(UserInfo)(in.readObject());			
			System.out.println(user.toString());

			in.close();
		}
		catch (Exception x)
		{
			System.out.println(x.toString());
		}
		
	}

	public static void main(String[] args) {	

		serialize("D:\\test.txt");
		System.out.println("序列化完毕");
		
		deserialize("D:\\test.txt");
		System.out.println("反序列化完毕");
	}

}

  执行结果

现在执行序列化方法
序列化完毕
现在执行反序列化方法
Thu Oct 23 22:18:12 CST 2008
用户名: renyanwei;密码:888888;年龄:0
反序列化完毕

 

通过一张图来看程序流程

首先,我们在序列化UserInfo对象的时候,由于这个类实现了Externalizable 接口,在writeExternal()方法里定义了哪些属性可以序列化,哪些不可以序列化,所以,对象在经过这里就把规定能被序列化的序列化保存文件,不能序列化的不处理,然后在反序列的时候自动调用readExternal()方法,根据序列顺序挨个读取进行反序列,并自动封装成对象返回,然后在测试类接收,就完成了反序列

 

认真体会下程序,相信可以很快理解序列和反序列的操作,有什么没讲明白的大伙儿可以再留言和我讨论, 呵呵 一起提高

  • 0
    点赞
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
Java反序列化漏洞是一种安全漏洞,它可以被恶意攻击者利用来执行未经授权的代码。该漏洞发生在Java应用程序中,当使用ObjectInputStream类反序列化来自不可信来源的数据时,攻击者可以通过在序列化数据中插入恶意代码来执行任意代码。 攻击者可以利用反序列化漏洞来执行各种恶意操作,例如执行远程命令、读取或修改敏感数据、绕过身份验证等。这种漏洞的危害性非常高,因此开发人员需要采取适当的防护措施来减轻这种风险。 为了防止反序列化漏洞的利用,可以考虑以下几个建议: 1. 避免反序列化不可信的数据:只反序列化来自可信来源的数据,不要接受来自未知或不可信的源的数据。 2. 使用白名单机制:限制可反序列化的类和包,只允许反序列化预定义的类,而不是允许所有类的反序列化。 3. 更新和修补程序:及时更新和修补使用的Java库和框架,以获得最新的安全补丁。 4. 序列化对象验证:在反序列化之前,对序列化对象进行验证,确保它们没有被篡改或被替换为恶意对象。 5. 序列化对象加密:对序列化的对象进行加密,以确保只有具有密钥的人可以解密和反序列化对象。 6. 安全配置:通过配置Java安全管理器来限制代码执行的权限,以防止恶意代码执行未经授权的操作。 请注意,这些只是一些基本的防护措施,具体的防御方法还需要根据具体的应用场景和需求来进行综合考虑和实施。建议开发人员在编写代码时时刻关注安全性,并参考Java官方文档和最佳实践来保护应用程序免受反序列化漏洞的影响。

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值