Лекції

У лекції розберемо ризики бінарної серіалізації в Java: чому десеріалізація з недовірених джерел небезпечна (ланцюжки «gadget chain», RCE), чим загрожують спеціальні методи на кшталт readObject і readResolve, та як захищатися (whitelisting, відмова на користь JSON/ XML, безпечні бібліотеки на кшталт Jackson). Детально розглянемо сумісність версій класів і роль поля serialVersionUID, поведінку під час InvalidClassException, обмеження transient/ static, продуктивність, а також найкращі практики та типові помилки.

Розбираємося, як стирання типів ( type erasure) впливає на серіалізацію generics‑колекцій: чому під час виконання List<String> і List<Integer> — один і той самий ArrayList, що саме записується й читається через ObjectOutputStream/ ObjectInputStream, звідки беруться ClassCastException і попередження про unchecked-касти. Покажемо приклади з вкладеними колекціями, Map/ Set, згадаємо Gson/ Jackson і сформулюємо практики безпечної десеріалізації.

Розбираємо, як еволюціонувати серіалізовані класи й не зламати дані: навіщо фіксувати serialVersionUID, як JVM перевіряє сумісність, які зміни безпечні (додавання/видалення полів), а які критичні (зміна типу, перенесення класу до пакета). Покажемо роль transient/ static, прийоми кастомної серіалізації через writeObject/ readObject, відмінність бінарної серіалізації від XML/JSON, стратегії забезпечення сумісності та типові помилки (наприклад, InvalidClassException).

Як безпечно еволюціонувати серіалізовані класи у продакшені: що буде при зміні полів і типів, як працює версія класу через serialVersionUID, коли її змінювати, а коли залишати попередньою, як застосовувати «ледачу» міграцію через readObject/ readFields і «in-place» конвертацію, і які є просунуті прийоми на кшталт ObjectInputStream.readClassDescriptor(). Розберемо повний практичний сценарій із двома версіями класу та типовими помилками, включно з пастками InvalidClassException.

Як зменшити розмір і прискорити серіалізацію об’єктів у Java: виключаємо зайві поля за допомогою transient, отримуємо повний контроль через Externalizable, застосовуємо потокове стиснення ( GZIPOutputStream, ZipOutputStream), прискорюємо I/O буферизацією ( BufferedOutputStream, BufferedInputStream) і швидким копіюванням через FileChannel. transferTo. Для оцінки продуктивності використовуємо як швидкі вимірювання через System. nanoTime(), так і надійні мікробенчмарки у JMH. Завершимо міні‑експериментом і розглядом типових помилок.