抽象类不能直接定义字段序列化策略，但可通过protected transient字段、抽象初始化方法和自定义writeObject/readObject钩子，约束子类统一处理敏感数据。
抽象类本身不能直接定义“字段序列化策略”，但可以结合 transient、访问控制和子类重写机制，构建一套可扩展、可定制的敏感数据保护方案。关键不在于让抽象类“自动序列化”或“自动过滤”，而在于用抽象结构约束子类行为，统一敏感字段的处理逻辑。
用 abstract class 封装敏感字段的声明与初始化规范
在抽象类中声明敏感字段时，统一使用 protected transient 修饰，既限制外部直接访问，又确保默认不参与序列化；同时提供受保护的初始化入口（如构造器或 init 方法），供子类按需填充或加密。
- 避免在抽象类中直接赋值敏感内容（如
private transient String password = "123"），防止误泄露 - 构造器中只接收非敏感参数（如 ID、名称），敏感数据交由子类通过 setter 或 builder 模式注入
- 示例：
public abstract class SecureEntity implements Serializable {
protected String id;
protected transient String token;
protected transient byte[] secretKey;
protected SecureEntity(String id) { this.id = id; }
public abstract void setupSecurity(); // 强制子类实现安全初始化
}
通过抽象方法强制子类实现序列化钩子
Java 原生序列化不支持运行时动态过滤，但可通过 writeObject / readObject 自定义序列化流程。抽象类定义空模板方法，子类重写时决定哪些敏感字段该被清除、替换或加密后再写入。
- 在抽象类中声明
protected void beforeSerialize()和protected void afterDeserialize() - 在自定义
writeObject中调用beforeSerialize()，让子类有机会清空、脱敏或加密 transient 字段 - 子类可选择：置空 token、用 AES 加密 secretKey 后再存为普通字段、或完全跳过写入
- 这样既保持序列化兼容性，又把策略决策权交给具体业务子类
配合字段级防护思想，分层控制敏感字段生命周期
抽象类作为“策略中枢”，不硬编码具体防护方式，而是为不同敏感等级字段预留扩展点：
-
低敏字段（如手机号后四位）：子类重写
getMaskedPhone()返回脱敏结果，序列化时只存脱敏值 -
中敏字段（如邮箱）：抽象类提供
encryptIfEnabled(String)工具方法，子类按配置开关决定是否加密 -
高敏字段（如密码原文）：必须声明为
transient，且子类的beforeSerialize()必须抛出异常或记录审计日志，禁止任何形式落盘
避免常见误区
不是所有“可重写”都适合用于安全控制：
- 不要依赖子类重写 getter/setter 来拦截序列化——
ObjectOutputStream直接反射读取字段，绕过方法调用 - 不要把
transient字段设为public或default访问级别，否则破坏封装性，增加意外暴露风险 - 抽象类中的
serialVersionUID必须显式定义，否则子类变更字段可能导致反序列化失败 - 若使用 Redis 缓存对象，还需额外配合缓存层脱敏（如序列化前用 Jackson 的
@JsonIgnore或自定义Serializer）
