IO流序列化在java中的作用及不足

本教程操作环境：windows7系统、java10版，DELL G3电脑。

1.作用

（1）对象序列化可以实现分布式对象。

主要应用例如：RMI(即远程调用Remote Method Invocation)要利用对象序列化运行远程主机上的服务，就像在本地机上运行对象时一样。

（2）java对象序列化不仅保留一个对象的数据，而且递归保存对象引用的每个对象的数据。

可以将整个对象层次写入字节流中，可以保存在文件中或在网络连接上传递。利用对象序列化可以进行对象的"深复制"，即复制对象本身及引用的对象本身。序列化一个对象可能得到整个对象序列。

（3）序列化可以将内存中的类写入文件或数据库中。

比如：将某个类序列化后存为文件，下次读取时只需将文件中的数据反序列化就可以将原先的类还原到内存中。也可以将类序列化为流数据进行传输。

总的来说就是将一个已经实例化的类转成文件存储，下次需要实例化的时候只要反序列化即可将类实例化到内存中并保留序列化时类中的所有变量和状态。

（4）对象、文件、数据，有许多不同的格式，很难统一传输和保存。

序列化以后就都是字节流了，无论原来是什么东西，都能变成一样的东西，就可以进行通用的格式传输或保存，传输结束以后，要再次使用，就进行反序列化还原，这样对象还是对象，文件还是文件。

2.不足

（1）无法跨语言

Java序列化只适用于基于Java语言实现的框架

（2）易被攻击

Java序列化是不安全的

（3）ObjectInputStream.readObject()

将类路径上几乎所有实现了Serializable接口的对象都实例化!!

这意味着：在反序列化字节流的过程中，该方法可以执行任意类型的代码，非常危险

（4）序列化后的流太大

序列化后的二进制流大小能体现序列化的能力；

序列化后的二进制数组越大，占用的存储空间就越多，存储硬件的成本就越高；

如果进行网络传输，则占用的带宽就越多，影响到系统的吞吐量。

原文来自：https://www.py.cn