1. 序列化与反序列化核心概念解析在软件开发中序列化Serialization和反序列化Deserialization是两个至关重要的基础概念。简单来说序列化就是把内存中的对象转换为可以存储或传输的格式如JSON、XML、二进制等而反序列化则是将这个格式重新转换回内存中的对象。为什么需要序列化想象你要把一栋房子从北京搬到上海。直接搬运整栋建筑显然不现实更合理的做法是将房子拆解成可运输的部件序列化运到目的地后再重新组装反序列化。在编程中当我们需要将对象保存到文件或数据库通过网络传输对象在不同系统/语言间交换数据 时序列化技术就派上了用场。2. 主流序列化方式对比与技术选型2.1 常见序列化格式JSON轻量级、易读、跨语言支持好优点人类可读、Web开发标配缺点无类型信息、体积较大典型库JsonCppC、fastjsonJava、JacksonJava二进制格式如Protocol Buffers、MessagePack优点体积小、性能高缺点可读性差、需要预定义schemaXML早期企业应用常用优点结构严谨、支持复杂数据缺点冗长、解析开销大提示现代开发中JSON已成为事实标准特别是Web API交互场景。2.2 JsonCpp实战详解JsonCpp是C中最流行的JSON库之一。安装非常简单# Ubuntu sudo apt-get install libjsoncpp-dev # 编译链接 g your_program.cpp -ljsoncpp基本使用示例#include json/json.h #include iostream #include fstream void serializeDemo() { Json::Value root; root[name] 张三; root[age] 25; root[skills].append(C); root[skills].append(Python); Json::StreamWriterBuilder builder; const std::string json_file Json::writeString(builder, root); std::cout json_file std::endl; // 写入文件 std::ofstream ofs(data.json); ofs json_file; ofs.close(); } void deserializeDemo() { std::ifstream ifs(data.json); Json::Value root; ifs root; std::cout Name: root[name].asString() std::endl; std::cout Age: root[age].asInt() std::endl; std::cout Skills: ; for(const auto skill : root[skills]) std::cout skill.asString() ; std::cout std::endl; }3. Java生态中的序列化实践3.1 fastjson深度解析fastjson是阿里开源的Java JSON库以高性能著称。但需要注意其历史漏洞问题// 基础使用 String jsonString JSON.toJSONString(userObject); // 序列化 User user JSON.parseObject(jsonString, User.class); // 反序列化 // 安全配置防止漏洞 ParserConfig.getGlobalInstance().setSafeMode(true);常见问题解决方案字段名大小写问题使用JSONField注解public class User { JSONField(name userName) private String username; }忽略转义字符配置SerializerFeatureJSON.toJSONString(obj, SerializerFeature.DisableCircularReferenceDetect);3.2 Jackson最佳实践Jackson是Spring默认的JSON处理器相比fastjson更安全稳定ObjectMapper mapper new ObjectMapper(); // 解决第二个字母大写问题 mapper.setPropertyNamingStrategy(PropertyNamingStrategies.LOWER_CAMEL_CASE); // 自定义序列化 SimpleModule module new SimpleModule(); module.addSerializer(Date.class, new CustomDateSerializer()); mapper.registerModule(module);4. 安全防护与性能优化4.1 反序列化漏洞原理反序列化漏洞通常发生在接收不可信数据源输入使用存在安全缺陷的库如旧版fastjson未对反序列化类进行白名单控制典型攻击方式构造恶意序列化数据利用反射机制执行任意代码触发远程命令执行RCE4.2 防护措施及时更新库版本fastjson 1.2.83Jackson 2.10.0启用安全模式// fastjson ParserConfig.getGlobalInstance().setSafeMode(true); // Jackson mapper.enable(JsonParser.Feature.IGNORE_UNDEFINED);输入验证与过滤# Python示例 import json from jsonschema import validate schema { type: object, properties: { name: {type: string}, age: {type: number} } } validate(instancejson.loads(input_str), schemaschema)5. 高级技巧与实战经验5.1 性能优化方案对象复用避免频繁创建解析器实例// 错误做法 for(String json : jsonList) { User user new ObjectMapper().readValue(json, User.class); } // 正确做法 ObjectMapper mapper new ObjectMapper(); for(String json : jsonList) { User user mapper.readValue(json, User.class); }流式处理处理大JSON文件JsonFactory factory new JsonFactory(); JsonParser parser factory.createParser(new File(large.json)); while(parser.nextToken() ! null) { // 逐token处理 }5.2 跨语言交互实践当不同语言系统交互时建议使用标准JSON Schema定义接口进行严格的边界值测试处理时区/日期格式差异# Python datetime处理 from datetime import datetime import json class DateTimeEncoder(json.JSONEncoder): def default(self, o): if isinstance(o, datetime): return o.isoformat() return super().default(o) json.dumps(obj, clsDateTimeEncoder)6. 常见问题排查指南6.1 典型错误与解决方案问题现象可能原因解决方案反序列化后字段为null1. 字段名不匹配2. 访问修饰符问题1. 检查JSONField注解2. 添加setter方法循环引用导致栈溢出对象间循环引用1. 使用JsonIgnore2. 配置DisableCircularReferenceDetect日期格式解析失败时区/格式不统一1. 明确指定DateFormat2. 使用时间戳替代字符串6.2 调试技巧序列化中间检查// JsonCpp调试输出 Json::Value debug; debug[raw] receivedJson; debug[parsed] parsedValue; std::cout debug.toStyledString() std::endl;边界值测试清单空对象/null值超长字符串特殊字符如emoji、转义字符极大/极小数值在实际项目中我习惯为每个重要接口编写专门的序列化测试用例特别是对于包含继承关系的对象树带有自定义注解的字段包含第三方类型的属性这种预防性措施虽然前期投入时间但能显著减少后期调试成本。 
长河君 · 2026/11/2 11:32:34 · 阅读 1.2k 序列化与反序列化技术解析及实践指南
1. 序列化与反序列化核心概念解析在软件开发中序列化Serialization和反序列化Deserialization是两个至关重要的基础概念。简单来说序列化就是把内存中的对象转换为可以存储或传输的格式如JSON、XML、二进制等而反序列化则是将这个格式重新转换回内存中的对象。为什么需要序列化想象你要把一栋房子从北京搬到上海。直接搬运整栋建筑显然不现实更合理的做法是将房子拆解成可运输的部件序列化运到目的地后再重新组装反序列化。在编程中当我们需要将对象保存到文件或数据库通过网络传输对象在不同系统/语言间交换数据 时序列化技术就派上了用场。2. 主流序列化方式对比与技术选型2.1 常见序列化格式JSON轻量级、易读、跨语言支持好优点人类可读、Web开发标配缺点无类型信息、体积较大典型库JsonCppC、fastjsonJava、JacksonJava二进制格式如Protocol Buffers、MessagePack优点体积小、性能高缺点可读性差、需要预定义schemaXML早期企业应用常用优点结构严谨、支持复杂数据缺点冗长、解析开销大提示现代开发中JSON已成为事实标准特别是Web API交互场景。2.2 JsonCpp实战详解JsonCpp是C中最流行的JSON库之一。安装非常简单# Ubuntu sudo apt-get install libjsoncpp-dev # 编译链接 g your_program.cpp -ljsoncpp基本使用示例#include json/json.h #include iostream #include fstream void serializeDemo() { Json::Value root; root[name] 张三; root[age] 25; root[skills].append(C); root[skills].append(Python); Json::StreamWriterBuilder builder; const std::string json_file Json::writeString(builder, root); std::cout json_file std::endl; // 写入文件 std::ofstream ofs(data.json); ofs json_file; ofs.close(); } void deserializeDemo() { std::ifstream ifs(data.json); Json::Value root; ifs root; std::cout Name: root[name].asString() std::endl; std::cout Age: root[age].asInt() std::endl; std::cout Skills: ; for(const auto skill : root[skills]) std::cout skill.asString() ; std::cout std::endl; }3. Java生态中的序列化实践3.1 fastjson深度解析fastjson是阿里开源的Java JSON库以高性能著称。但需要注意其历史漏洞问题// 基础使用 String jsonString JSON.toJSONString(userObject); // 序列化 User user JSON.parseObject(jsonString, User.class); // 反序列化 // 安全配置防止漏洞 ParserConfig.getGlobalInstance().setSafeMode(true);常见问题解决方案字段名大小写问题使用JSONField注解public class User { JSONField(name userName) private String username; }忽略转义字符配置SerializerFeatureJSON.toJSONString(obj, SerializerFeature.DisableCircularReferenceDetect);3.2 Jackson最佳实践Jackson是Spring默认的JSON处理器相比fastjson更安全稳定ObjectMapper mapper new ObjectMapper(); // 解决第二个字母大写问题 mapper.setPropertyNamingStrategy(PropertyNamingStrategies.LOWER_CAMEL_CASE); // 自定义序列化 SimpleModule module new SimpleModule(); module.addSerializer(Date.class, new CustomDateSerializer()); mapper.registerModule(module);4. 安全防护与性能优化4.1 反序列化漏洞原理反序列化漏洞通常发生在接收不可信数据源输入使用存在安全缺陷的库如旧版fastjson未对反序列化类进行白名单控制典型攻击方式构造恶意序列化数据利用反射机制执行任意代码触发远程命令执行RCE4.2 防护措施及时更新库版本fastjson 1.2.83Jackson 2.10.0启用安全模式// fastjson ParserConfig.getGlobalInstance().setSafeMode(true); // Jackson mapper.enable(JsonParser.Feature.IGNORE_UNDEFINED);输入验证与过滤# Python示例 import json from jsonschema import validate schema { type: object, properties: { name: {type: string}, age: {type: number} } } validate(instancejson.loads(input_str), schemaschema)5. 高级技巧与实战经验5.1 性能优化方案对象复用避免频繁创建解析器实例// 错误做法 for(String json : jsonList) { User user new ObjectMapper().readValue(json, User.class); } // 正确做法 ObjectMapper mapper new ObjectMapper(); for(String json : jsonList) { User user mapper.readValue(json, User.class); }流式处理处理大JSON文件JsonFactory factory new JsonFactory(); JsonParser parser factory.createParser(new File(large.json)); while(parser.nextToken() ! null) { // 逐token处理 }5.2 跨语言交互实践当不同语言系统交互时建议使用标准JSON Schema定义接口进行严格的边界值测试处理时区/日期格式差异# Python datetime处理 from datetime import datetime import json class DateTimeEncoder(json.JSONEncoder): def default(self, o): if isinstance(o, datetime): return o.isoformat() return super().default(o) json.dumps(obj, clsDateTimeEncoder)6. 常见问题排查指南6.1 典型错误与解决方案问题现象可能原因解决方案反序列化后字段为null1. 字段名不匹配2. 访问修饰符问题1. 检查JSONField注解2. 添加setter方法循环引用导致栈溢出对象间循环引用1. 使用JsonIgnore2. 配置DisableCircularReferenceDetect日期格式解析失败时区/格式不统一1. 明确指定DateFormat2. 使用时间戳替代字符串6.2 调试技巧序列化中间检查// JsonCpp调试输出 Json::Value debug; debug[raw] receivedJson; debug[parsed] parsedValue; std::cout debug.toStyledString() std::endl;边界值测试清单空对象/null值超长字符串特殊字符如emoji、转义字符极大/极小数值在实际项目中我习惯为每个重要接口编写专门的序列化测试用例特别是对于包含继承关系的对象树带有自定义注解的字段包含第三方类型的属性这种预防性措施虽然前期投入时间但能显著减少后期调试成本。