transient 仅在 JDK 默认序列化（ObjectOutputStream）中生效，对日志、JSON、数据库等完全无效；其作用范围极窄，不能替代敏感数据的分层隔离设计。
加 transient 能阻止 Java 原生序列化（ObjectOutputStream）写入该字段，但对日志、JSON、数据库、调试器完全无效——它只管一条路，别指望它防住所有泄露。
哪些场景下 transient 真的起作用
它只在明确走 JDK 默认序列化流程时生效：
- 用
ObjectOutputStream写对象到文件或 socket（如老式 RMI、某些定制 RPC） - 使用基于
Serializable的堆外缓存（如 Ehcache 2.x 默认配置） - Spring Session 使用
DefaultCookieSerializer且未禁用序列化（已过时，不推荐）
一旦换成 JSON、XML、JDBC、gRPC、HTTP body 解析，transient 就彻底失效——这些路径根本不看这个关键字。
为什么加了 transient 的 password 还出现在日志里
因为日志打印的是运行时内存里的值，和序列化无关。常见触发点：
-
toString()方法里直接拼接password字段 - Lombok 的
@ToString默认包含所有字段（需显式写@ToString(exclude = "password")） - SLF4J 打印
logger.info("user: {}", user)，底层调用toString()
解决方式不是靠 transient，而是控制输出逻辑本身：重写 toString()、用结构化日志字段、或改用 char[] 并及时清空。
JSON 序列化（Jackson/Gson）必须额外配置才认 transient
Spring Boot 默认用 Jackson，@ResponseBody 返回 JSON 时，transient 完全被忽略：
mapper.configure(MapperFeature.USE_TRANSIENT_ANNOTATION, true);
但更推荐显式标注：
- Jackson：用
@JsonIgnore（语义清晰，不依赖全局配置） - Gson：用
@Expose(serialize = false)+ 构建时启用excludeFieldsWithoutExposeAnnotation() - 别混用：JPA 的
@Transient（首字母大写）是另一回事，和序列化无关
真正安全的做法不是靠修饰符，而是分层隔离
transient 是个窄口径补丁，现代系统中应优先采用设计隔离：
- 敏感字段根本不出现在响应 DTO 中（比如用
UserResponse类，不定义password字段） - 数据库实体（JPA）与 API 响应体（DTO）严格分离，靠构造函数或 MapStruct 映射
- CI 阶段用 SpotBugs 检查
SE_BAD_FIELD，确保Serializable类里没漏标敏感字段
最易被忽略的一点：transient 不影响反射读取、内存 dump、线程堆栈打印——只要对象还在 JVM 里，它就不是“隐藏”，只是“不落盘”。
