Java序列化需手动集成AES等加密算法保障安全，通过重写private writeObject和readObject方法，在transient敏感字段的序列化/反序列化环节嵌入加解密逻辑，并严格管理密钥与算法。
Java 序列化本身不提供加密能力，要保障序列化对象在传输中的机密性与完整性，必须手动接管序列化流程，并集成 AES 等加密算法。核心不是“给 ObjectOutputStream 加个密码”，而是通过重写 writeObject 和 readObject 方法，在字节流写入/读取环节嵌入加解密逻辑。
标记敏感字段为 transient
先明确哪些字段真正敏感（如 password、token、身份证号），将它们声明为 transient：
- 避免被
defaultWriteObject()自动序列化为明文 - 强制你在
writeObject中显式处理——要么加密写入，要么彻底忽略 - 反序列化后该字段初始值为
null或默认值，后续靠readObject中解密赋值
重写 writeObject：加密写入 IV + 密文
方法签名必须严格为 private void writeObject(ObjectOutputStream out) throws IOException，JVM 才会调用它替代默认逻辑：
Alibabacloud Sdk Client Initialization For Java
下载
在 Java 中初始化和管理阿里云 SDK客户端。包括单例模式、线程安全、endpoint 与 region 配置、VPC 终端节点、同步与异步等。
- 第一步：调用
out.defaultWriteObject()，让其他非 transient 字段正常序列化 - 第二步：对每个 transient 敏感字段，使用 AES/GCM 模式加密（推荐），每次生成新 IV（如 12 字节）
- 第三步：按固定顺序写入流——先写 IV（固定长度），再写密文字节数（
out.writeInt(len)），最后写密文本身
同步重写 readObject：按序解密还原
没有对称的 readObject，加密就失去意义，且极易抛出 StreamCorruptedException：
立即学习“Java免费学习笔记（深入）”；
- 第一步：调用
in.defaultReadObject()恢复普通字段 - 第二步：严格按
writeObject的相同顺序读取——先读 IV（长度固定）、再读密文长度、最后读对应字节数的密文 - 第三步：用相同密钥和刚读到的 IV 解密，结果赋值给对应 transient 字段，例如
this.password = decrypt(iv, ciphertext)
密钥与算法的关键约束
加密只是手段，密钥管理和算法选择才是防线核心：
- 密钥绝不能硬编码在类里，应从环境变量、系统属性或配置中心加载
- 禁用 ECB 模式；优先选 AES/GCM（自带完整性校验），或 AES/CBC + 单独 HMAC
-
writeObject和readObject方法必须是private，不可被继承或覆盖
