transient仅在Java原生序列化中生效，需类实现Serializable、字段为非static非final实例变量；对JSON、日志、数据库等场景无效，不能替代分层安全措施。
直接在字段声明前加 transient 即可，但它只对 Java 原生序列化（ObjectOutputStream）生效，不是“安全开关”，更不防日志、JSON 或内存泄露。
怎么写才正确
必须满足三个前提：类实现 Serializable、字段是实例变量、不能是 static 或 final。
- 写法示例：
private transient String password; - 反序列化后，该字段为默认值：引用类型是
null，基本类型是0或false -
private static transient String token;是冗余写法——static本就不序列化 -
private final transient String salt;语义混乱，final字段若已在构造中赋值，仍可能被序列化，加transient不解决问题
哪些字段适合加 transient
核心判断标准是：这个值是否该落盘？是否可被持久化？
- 密码、API 密钥、临时 token 等字符串（注意：反序列化后为
null，业务需自行补全） - 运行时缓存结果，如
private transient int cachedHashCode - 不可序列化的资源对象，如
private transient Logger logger、private transient Connection dbConn - 线程局部上下文，如
private transient ThreadLocal<String> traceId
为什么加了还是泄露了
因为 transient 对绝大多数现代场景完全无效：
立即学习“Java免费学习笔记（深入）”；
- Spring Boot 的
@ResponseBody返回 JSON → 走 Jackson，不认transient - 日志打印
logger.info("user: {}", user)→ 触发toString()，若里面拼了password，就直接打出来 - 数据库查询返回实体、MyBatis 映射、HTTP 请求体绑定 → 全部绕过
transient - 内存 dump、调试器、JFR 录制 →
transient完全无作用
真正有效的配套做法
别指望单靠 transient 防泄露，得配合分层控制：
- DTO 层隔离：API 响应用专用类（如
UserResponse），压根不定义password字段 - JSON 场景：Jackson 用
@JsonIgnore，Gson 用GsonBuilder.excludeFieldsWithModifiers(Modifier.TRANSIENT) - 日志脱敏：重写
toString()，跳过敏感字段；或用结构化日志 + 字段过滤 - 内存防护：敏感字符串改用
char[]，用完立即Arrays.fill(pwd, '\0') - CI 检查：用 SpotBugs 扫描
SE_BAD_FIELD，自动发现未保护的敏感字段
