Java使用序列化的私有方法巧妙解决部分属性持久化问题

部分属性持久化问题看似很简单，只要把不需要的持久化的属性加上瞬态关键字（transient关键字）即可，没错，这也是一种解决方案，但在有的时候行不通，例如在一个计税系统和人力系统对接的时候，计税系统需要从人力系统获得人员的姓名和基本工资，作为纳税的一句，而人力系统的工资分成 分成两个部分：基本工资和绩效工资，基本工资没有什么秘密，一般都是直接跟年限挂钩，但是绩效工资一般来说是保密的，不能泄露到外系统，话不多说，上代码

import lombok.AllArgsConstructor;
import lombok.Getter;
import lombok.NoArgsConstructor;
import lombok.Setter;

import java.io.Serializable;

@Getter
@Setter
@NoArgsConstructor
@AllArgsConstructor
public class Salary implements Serializable {
    private static final long serialVersionUID = 75632L;
    // 基本工资
    private Integer basePay;
    // 绩效工资
    private Integer bonus;
}

import lombok.AllArgsConstructor;
import lombok.Getter;
import lombok.NoArgsConstructor;
import lombok.Setter;

import java.io.Serializable;

@Getter
@Setter
@NoArgsConstructor
@AllArgsConstructor
public class Person implements Serializable {
    private static final long serialVersionUID =45829L;
    // 员工姓名
    private String name;
    // 员工薪资
    private Salary salary;
    
}

如上所示，他们都序列化了，都基本了持久化的条件，计税系统请求人力系统，然后人力系统后将人员和工资信息传递到计税系统中，做一个测试，代码如下：

import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RestController;

@RestController
@RequestMapping("/demo")
public class UserController {

    @GetMapping("/get-user")
    public Person getUser() {
        // 基本工资 1000 绩效3000
        Salary salary = new Salary(1000,3000);
        Person person = new Person("小哇",salary);
        return person;
    }
}

在通过网络传输的计税系统中，进行反序列化，代码如下：

import com.cp.security.user.common.JsonUtil;

public class TestController {

    public static void main(String[] args) {
        String personJson = HttpRequest.sendGet("http://localhost:8080/demo/get-user","");
        Person person = JsonUtil.str2Obj(personJson);
        StringBuffer sb = new StringBuffer();
        sb.append("name"+person.getName());
        sb.append("基本工资"+person.getSalary().getBasePay());
        sb.append("绩效工资"+person.getSalary().getBonus());
        System.out.println(sb);
    }


//运行结果如下：
// name 小哇 基本工资1000 绩效工资3000

很明显这不符合要求，存在严重的信息泄露问题，那么怎么解决呢？提供以下思路：

1.在bonus（绩效工资）前面加上transient关键字进行修饰

　　这的确是一个办法，但不是一个好的办法,在分布式部署的时候性能很差，不推荐

2.新增一个业务对象（*）

　　新增一个对象，该对象只有姓名和基本工资两个属性，符合开闭原则，对原来系统也没有侵入性，只是增加了工作量，相比较来说，这个是目前最受欢迎的方式了

3.在请求端进行过滤

　　在计税系统得到Person对象之后，对立面的绩效薪资进行隐藏，可行但是很危险，业务交由其他系统处理，对外依旧是暴露的，差评

4.引出本文重点，采用Serializable接口中的两个私有方法writeObject和readObject，我们将Person稍作修改，上代码

import lombok.AllArgsConstructor;
import lombok.Getter;
import lombok.NoArgsConstructor;
import lombok.Setter;

import java.io.IOException;
import java.io.ObjectInputStream;
import java.io.ObjectOutputStream;
import java.io.Serializable;

@Getter
@Setter
@NoArgsConstructor
@AllArgsConstructor
public class Person implements Serializable {
    private static final long serialVersionUID =45829L;
    // 员工姓名
    private String name;
    // 员工薪资
    private Salary salary;

    private void writeObject(ObjectOutputStream out)throws IOException {
        out.defaultWriteObject();
        out.writeInt(salary.getBasePay());
    }
    private void readObject(ObjectInputStream in)throws IOException,ClassNotFoundException{
        in.defaultReadObject();
        salary = new Salary(in.readInt(),0);
    }

}

// 此时运行的结果
// name 小哇 基本工资1000 绩效工资0

总结：

我们在Person类中增加了writeObject和readObject两个方法，并且访问权限都是私有级别的，为什么能够改变程序的运行结果呢？其实这里使用了序列化的独有机制，序列化毁掉，java中调用ObjectOutputStream类把一个对象转换成流数据时，会通过反射检查被序列化的类是否有writeObject方法，并且检查其是否符合私有、无返回的特性，若符合，则会委托该方法将对象进行序列化，若没有，则由ObjectOutputStream按照默认的规则继续序列化，同样，从流数据恢复成实力对象时，也会检查是否有一个私有的readObject方法，如果有，则会通过该方法读取属性值，此处有几个关键点需要说明：

a> out.defaultWriteObject();

　　告知JVM按照默认的规则写入对象，惯例写法是写在第一句话里

b>in.defaultReadObject();

　　告知JVM按照默认的规则读入对象，惯例写法是写在第一句话里

c>依然存在分布式部署的问题，只是提供一个思路而已，正常情况下依然推荐使用第二种方式，重新声明一个对象返回