枚举单例天然防御序列化漏洞，因JVM反序列化枚举时直接返回已有实例而非调用构造器；它线程安全、防反射攻击，且无需额外代码，但不可继承类，延迟加载灵活性受限。
Java 中用枚举实现单例，天然防御序列化漏洞，因为枚举类的反序列化机制不调用构造方法，而是直接返回已有的枚举实例。
枚举单例为何能防止反序列化破坏
普通类单例若未显式处理反序列化（如实现 readResolve()），JVM 在反序列化时会绕过私有构造器，新建一个对象，破坏单例性。而枚举类型被 JVM 特殊对待：无论序列化多少次，反序列化始终返回原始枚举常量，不会创建新实例。这是由 JVM 规范保证的底层行为，无需额外代码。
标准枚举单例写法
定义简洁，线程安全，且自动免疫反射和序列化攻击：
public enum Singleton {
INSTANCE;
public void doSomething() {
// 业务逻辑
}
}
- 编译后，INSTANCE 是唯一静态 final 实例，由类加载器初始化，天然线程安全
- 没有公开构造器，反射无法调用构造方法（
java.lang.Enum的构造器是protected，且枚举类构造器被编译器设为私有） - 序列化时保存的是枚举常量名称（如 "INSTANCE"），反序列化时通过
Enum.valueOf()查找已有实例，不触发构造
验证序列化是否真正安全
可编写测试确认反序列化后仍是同一对象：
立即学习“Java免费学习笔记（深入）”；
Singleton s1 = Singleton.INSTANCE;
ByteArrayOutputStream bos = new ByteArrayOutputStream();
ObjectOutputStream oos = new ObjectOutputStream(bos);
oos.writeObject(s1);
ObjectInputStream ois = new ObjectInputStream(
new ByteArrayInputStream(bos.toByteArray())
);
Singleton s2 = (Singleton) ois.readObject();
System.out.println(s1 == s2); // 输出 true
- 对比普通单例（未实现
readResolve），此处结果必为 true - 即使使用
ObjectInputStream强制反序列化，也无法生成第二个实例
注意事项与边界情况
虽强大，但需注意实际约束：
- 枚举单例不能继承其他类（因已隐式继承
java.lang.Enum），但可实现接口 - 如果单例需要延迟加载复杂资源，枚举的类初始化时机（首次访问时）可能不够灵活，此时可考虑结合 Holder 模式或明确使用
readResolve - 反序列化安全性仅针对 Java 原生序列化；若使用 JSON、XML 等第三方序列化框架，需另行配置（如 Jackson 的
@JsonCreator配合valueOf）
