保护性地编写readObject方法

在Java中，通过谨慎保护性地编写 readObject 方法，我们可以在对象反序列化的过程中加入额外的安全检查和验证，以确保反序列化后的对象的状态是合法和安全的。以下是一个简单的例子，演示如何保护性地编写 readObject 方法：

import java.io.*;

class User implements Serializable {
    private static final long serialVersionUID = 1L;

    private String username;
    private transient String password;

    public User(String username, String password) {
        this.username = username;
        this.password = password;
    }

    private void writeObject(ObjectOutputStream out) throws IOException {
        out.writeObject(username);
        out.writeObject(password);
    }

    private void readObject(ObjectInputStream in) throws IOException, ClassNotFoundException {
        // 手动从序列化流中读取 username 和 password
        username = (String) in.readObject();
        password = (String) in.readObject();

        // 在 readObject 中进行保护性检查，确保 password 不为 null
        if (password == null) {
            throw new InvalidObjectException("Invalid password during deserialization");
        }

        // 在 readObject 中进行其他安全性检查，根据需求添加
        if (username.isEmpty()) {
            throw new InvalidObjectException("Invalid username during deserialization");
        }
    }

    @Override
    public String toString() {
        return "User{username='" + username + "', password='" + password + "'}";
    }
}

public class ProtectiveReadObjectExample {
    public static void main(String[] args) {
        // 创建一个示例用户
        User user = new User("john_doe", "password123");

        // 将用户对象序列化到字节数组
        byte[] serializedUser = serializeUser(user);

        // 将字节数组反序列化为用户对象
        User deserializedUser = deserializeUser(serializedUser);

        // 输出反序列化后的用户对象
        System.out.println("Deserialized User: " + deserializedUser);
    }

    private static byte[] serializeUser(User user) {
        try (ByteArrayOutputStream byteArrayOutputStream = new ByteArrayOutputStream();
             ObjectOutputStream objectOutputStream = new ObjectOutputStream(byteArrayOutputStream)) {
            // 写入用户对象到序列化流
            objectOutputStream.writeObject(user);
            return byteArrayOutputStream.toByteArray();
        } catch (IOException e) {
            e.printStackTrace();
            return null;
        }
    }

    private static User deserializeUser(byte[] serializedUser) {
        try (ByteArrayInputStream byteArrayInputStream = new ByteArrayInputStream(serializedUser);
             ObjectInputStream objectInputStream = new ObjectInputStream(byteArrayInputStream)) {
            // 从序列化流中读取用户对象
            return (User) objectInputStream.readObject();
        } catch (IOException | ClassNotFoundException | InvalidObjectException e) {
            e.printStackTrace();
            return null;
        }
    }
}

在上述例子中，readObject 方法进行了一些保护性检查，确保 password 不为 null，并根据需要可以添加其他的安全性检查。这样的做法可以防止在反序列化时出现不合法或不安全的对象状态。在实际应用中，具体的保护性检查会根据对象的业务逻辑和安全需求而有所不同。