序列化和反序列化、以及反序列化注入问题要点

所有你想要的东西都标着价格

序列化的实体是个对象，结果也是个对象，并非是格式化文本，你在记事本里看到的购物信息保存记录，其实不是对象序列化的结果，而是对象输出的格式化文本，真正的序列化对象是看不懂的。

序列化的应用场景

在实际使用对象序列化时，

1. 一种应用场景是将对象序列化到持久化存储（本地硬盘），我们此时不想做文件解析，也不想有人读懂这个持久化文件，当我们需要时，可以直接采用反序列化将保存的文件生成为对象；
2. **另一种应用场景是在网络传输过程中，此时对象会在不同主机上传播，序列化会将对象转成码流由对端进行解析，这个解析过程不需要人参与。 **
   普通字符串是经过解析后的对象，有对象到字符串要加入解析逻辑，人才能看懂。
   序列化的结果是个只有JAVA虚拟机认识的文件，人不参与，只是用于保存对象或传输。
   简单说，像一篇文章里提到的那样，“”当你想从一个jvm中调用另一个jvm的对象时,你就可以考虑使用序列化了。序列化的作用就是为了不同jvm之间共享实例对象的一种解决方案。”

JDK中序列化和反序列化API

java.io.ObjectOutputStream代表对象输出流，它的writeObject(Object obj)方法可对参数指定的obj对象进行序列化，把得到的字节序列写到一个目标输出流中。
java.io.ObjectInputStream代表对象输入流，它的readObject()方法从一个源输入流中读取字