要让RMI远程调用支持对象变量作为参数传递，核心是序列化机制的正确应用。Java RMI本身不直接传输对象实例，而是把对象状态（字段值）序列化成字节流，经网络传到服务端后反序列化重建对象。这个过程对开发者透明，但必须满足严格条件，否则会抛出 NotSerializableException 或运行时失败。
对象类必须实现 Serializable 接口
这是最基本也是最关键的一步。只有显式声明 implements Serializable 的类，JVM 才允许对其序列化：
- 接口本身无方法，仅作标记用途，但不可省略
- 所有非 transient、非 static 的实例字段，其类型也必须可序列化（如 String、List、自定义类等）
- 若字段是第三方类（如某些数据库连接对象），且未实现 Serializable，需设为
transient并在writeObject/readObject中手动处理 - 建议显式声明
private static final long serialVersionUID = 1L;，避免因类结构变化导致反序列化失败
远程接口与实现类需保持两端类路径一致
RMI 不自动分发类字节码，客户端和服务端必须各自拥有完全相同的类定义（包名、类名、字段、serialVersionUID）：
- 不能只在服务端有
User.class，客户端用不同版本或缺失该类 —— 否则反序列化时找不到类，抛ClassNotFoundException - 推荐将共享类（如参数对象类、远程接口）打包为独立 JAR，在 client 和 server 工程中统一依赖
- 不建议依赖 RMI 的动态类加载（如通过 HTTP Server 提供 stub 类），该机制默认禁用且存在安全风险
远程方法签名必须兼容序列化语义
即使对象可序列化，方法定义不当仍会导致调用失败：
- 远程接口中每个方法必须声明
throws RemoteException，这是 RMI 强制要求 - 参数和返回值类型若是自定义类，必须满足上述 Serializable 条件；基本类型、String、包装类、常见集合（ArrayList、HashMap 等）默认支持
- 避免传递含本地资源引用的对象（如 File、Socket、Thread），它们无法跨 JVM 有效重建，应只传逻辑数据
- 若需传递函数行为，不要传 Runnable 实例，改用策略枚举或命令 ID + 参数对象组合
注意反序列化安全边界
服务端反序列化客户端传来的字节流，等同于执行任意类构造与初始化逻辑。若服务端 classpath 存在已知 POP 链（如 Apache Commons Collections），可能被利用触发远程代码执行：
- JDK 9+ 默认禁用大部分危险反序列化 gadget，但仍建议升级到 JDK 17+ 并启用
jdk.serialFilter白名单机制 - 生产环境应配置 JVM 参数限制可反序列化的类，例如：
-Djdk.serialFilter="maxarray=1000000;java.lang.String;java.util.*;yourpackage.**" - 对可信度低的调用方，可在服务端入口处校验对象类型、字段范围，或改用 JSON/Protobuf 等显式序列化协议替代原生 Java 序列化
