ObjectInputStream 不支持 mark/reset，因其底层流不支持且反序列化状态不可回退；官方明确 markSupported() 总是返回 false，调用 mark()/reset() 会抛 IOException。
Java 中的 ObjectInputStream 默认不支持 mark() 和 reset()，因为它底层封装的是不支持标记/重置的输入流（如 FileInputStream 或 SocketInputStream），且反序列化过程本身具有状态依赖性（如类描述符、引用计数等），无法安全回退。因此，不能直接在原始 ObjectInputStream 上调用 markSupported() 返回 true，也不能可靠使用 reset()。
为什么 ObjectInputStream 不支持 mark/reset
ObjectInputStream 的设计目标是单向、一次性地解析二进制序列化数据流。它内部维护复杂的解析状态（如对象引用表、类型元数据缓存、block data 缓冲区等）。即使底层流支持 mark/reset（比如包装了 BufferedInputStream），反序列化器也无法保证在 reset() 后恢复一致的内部状态——可能导致 StreamCorruptedException、重复反序列化、或引用关系错乱。
官方文档明确指出：ObjectInputStream.markSupported() 总是返回 false，且调用 mark() 或 reset() 会抛出 IOException。
替代方案：用 BufferedInputStream 包装并手动缓存字节
若需“重复读取”序列化数据（例如试探性解析、多轮反序列化、或解析前预检），应绕过 ObjectInputStream 的 mark/reset，改用底层字节缓冲：
立即学习“Java免费学习笔记（深入）”；
- 用
BufferedInputStream包装原始源（如FileInputStream），并确保其markSupported() == true（默认支持，但需注意缓冲区大小） - 调用
mark(int readlimit)——readlimit应大于预期最大单次反序列化所需字节数（可预估或设为足够大，如1024 * 1024） - 创建
ObjectInputStream读取一次；完成后，对底层BufferedInputStream调用reset() - 再次创建新的
ObjectInputStream（必须新建，不能复用旧实例）进行第二次读取
示例：
BufferedInputStream bis = new BufferedInputStream(new FileInputStream("data.ser"));
bis.mark(1024 * 1024); // 设置足够大的 readlimit
<p>// 第一次读取
try (ObjectInputStream ois1 = new ObjectInputStream(bis)) {
Object obj1 = ois1.readObject();
}</p><p>// 重置到底层流起点
bis.reset();</p><p>// 第二次读取（必须新建 ObjectInputStream）
try (ObjectInputStream ois2 = new ObjectInputStream(bis)) {
Object obj2 = ois2.readObject(); // 读到同一个对象
}更健壮的做法：完全加载到内存再复用
对于小到中等体积的数据，最简单可靠的方式是将整个序列化字节一次性读入 byte[]，然后用 ByteArrayInputStream 多次构造 ObjectInputStream：
- 避免流状态和缓冲边界问题
- 无需担心
mark/reset限制或readlimit估算失误 - 适合测试、调试或需要多次解析同一份数据的场景
示例：
byte[] bytes = Files.readAllBytes(Paths.get("data.ser"));
<p>// 第一次解析
try (ObjectInputStream ois1 = new ObjectInputStream(
new ByteArrayInputStream(bytes))) {
Object obj1 = ois1.readObject();
}</p><p>// 第二次解析（完全独立）
try (ObjectInputStream ois2 = new ObjectInputStream(
new ByteArrayInputStream(bytes))) {
Object obj2 = ois2.readObject();
}注意事项与风险提示
无论采用哪种方式，都需注意：
-
ObjectInputStream构造时会读取并验证流头部（magic number 和 version），多次构造需确保字节流开头始终一致 - 自定义
ObjectInputStream子类（如重写resolveClass）需确保每次新建实例时逻辑一致 - 若序列化数据来自网络或不可信源，重复解析不增加安全性，反而可能放大 DoS 风险
- Java 17+ 引入了
SerializationFilter，多次解析时需确保过滤器配置相同
不复杂但容易忽略：真正需要“重复读”的场景，往往说明设计上可优化——比如提前解析关键元数据，或把序列化结构改为更易随机访问的格式（如 JSON + Schema）。
