公司有个子服务较多，交互频繁的系统，有一些需要共享传输的对象，它们通过 JDK 序列化（Java Object Serialization）后进行交互；但是由于一些不可描述的历史原因，这些对象存在多个版本，每个版本中的属性不一致，且未设置 serialVersionUID。
这阵子在做梳理/统一代码的工作，打算统一这些对象的版本和固定 serialVersionUID，但是由于服务较多，上线发版时会有一段新老版本共存的时期，所以得考虑这些对象序列化的兼容问题，新的对象反序列化一定得兼容老的对象
Java Object Serialization
Java对象序列化（Serialization）是指将Java中的对象转为字节流，从而可以方便的存储或在网络中传输，反序列化（Deserialization）是指将字节流转位Java对象
一般情况下，Java Object Serialization指的是利用JDK自带的功能对对象进行序列化/反序列化，而不是使用其他的序列化库进行（反）序列化
JDK 序列化中，要求对象必须实现java.io.Serializable接口，基本使用方式如下：
Serialization
// Serialize today's date to a file.
FileOutputStream f = new FileOutputStream("tmp");
ObjectOutput s = new ObjectOutputStream(f);
s.writeObject("Today");
s.writeObject(new Date());
s.flush();
Deserialization
// Deserialize a string and date from a file.
FileInputStream in = new FileInputStream("tmp");
ObjectInputStream s = new ObjectInputStream(in);
String today = (String)s.readObject();
Date date = (Date)s.readObject();
serialVersionUID
private static final long serialVersionUID = 1L;
Java Object Serialization 会使用对象中的 serialVersionUID 常量属性作为该对象的版本号，进行反序列化时会校验该版本号是否一致，如果不一致会导致序列化失败，抛出InvalidClassException异常
默认情况下，JVM 为每一个实现了 Serializable 的接口的类生成一个 serialVersionUID（long），这个 ID 的计算规则是通过当前类信息（类名、属性等）去生成的，所以当属性有变更时这个serialVersionUID 也一定会发生变更
这个 serialVersionUID 的生成，和所使用的JDK有关，不同的JDK可能会生成不一样的版本号，所以最好是手动生成一个，大多数 JAVA IDE 都会提供这个生成的功能
而且考虑到实际业务场景，变更属性是常有的事，如果使用自动生成的版本号很容易造成 serialVersionUID 不一致的问题，导致反序列化失败
serialVersionUID 不一致时的兼容处理
处理这个不一致也很简单，既然反序列化时使用 ObjectInputStream 来实现，那么这里自定义一个 CompatibleInputStream 继承 ObjectInputStream，然后重写 readClassDescriptor 方法即可
当遇到目标数据 Class 版本号和本地 Class 版本号不一致时，默认使用本地版本的 Class
public class CompatibleInputStream extends ObjectInputStream {
private static Logger logger = LoggerFactory.getLogger(CompatibleInputStream.class);
public CompatibleInputStream(InputStream in) throws IOException {
super(in);
}
@Override
protected ObjectStreamClass readClassDescriptor() throws IOException, ClassNotFoundException {
ObjectStreamClass resultClassDescriptor = super.readClassDescriptor(); // initially streams descriptor
Class localClass; // the class in the local JVM that this descriptor represents.
try {
localClass = Class.forName(resultClassDescriptor.getName());
} catch (ClassNotFoundException e) {
logger.error("No local class for " + resultClassDescriptor.getName(), e);
return resultClassDescriptor;
}
ObjectStreamClass localClassDescriptor = ObjectStreamClass.lookup(localClass);
if (localClassDescriptor != null) { // only if class implements serializable
final long localSUID = localClassDescriptor.getSerialVersionUID();
final long streamSUID = resultClassDescriptor.getSerialVersionUID();
if (streamSUID != localSUID) { // check for serialVersionUID mismatch.
final StringBuffer s = new StringBuffer("Overriding serialized class version mismatch: ");
s.append("local serialVersionUID = ").append(localSUID);
s.append(" stream serialVersionUID = ").append(streamSUID);
### 如何自学黑客&网络安全
#### 黑客零基础入门学习路线&规划
**初级黑客**
**1、网络安全理论知识（2天）**
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）
**2、渗透测试基础（一周）**
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等
**3、操作系统基础（一周）**
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）
**4、计算机网络基础（一周）**
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现
**5、数据库基础操作（2天）**
①数据库基础
②SQL语言基础
③数据库安全加固
**6、Web渗透（1周）**
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）
恭喜你，如果学到这里，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web 渗透、安全服务、安全分析等岗位；如果等保模块学的好，还可以从事等保工程师。薪资区间6k-15k
到此为止，大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗？
如果你想要入坑黑客&网络安全，笔者给大家准备了一份：282G全网最全的网络安全资料包评论区留言即可领取！
**7、脚本编程（初级/中级/高级）**
在网络安全领域。是否具备编程能力是“脚本小子”和真正黑客的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力.
如果你零基础入门，笔者建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习；搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP， IDE强烈推荐Sublime；·Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，不要看完；·用Python编写漏洞的exp,然后写一个简单的网络爬虫；·PHP基本语法学习并书写一个简单的博客系统；熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)；·了解Bootstrap的布局或者CSS。
**8、超级黑客**
这部分内容对零基础的同学来说还比较遥远，就不展开细说了，附上学习路线。
#### 网络安全工程师企业级学习路线
如图片过大被平台压缩导致看不清的话，评论区点赞和评论区留言获取吧。我都会回复的
视频配套资料&国内外网安书籍、文档&工具
当然除了有配套的视频，同时也为大家整理了各种文档和书籍资料&工具，并且已经帮大家分好类了。
一些笔者自己买的、其他平台白嫖不到的视频教程。
扫一扫
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
