Java中私有构造方法配合序列化代理模式可彻底防止反序列化绕过校验：私有构造强制所有实例（含反序列化）必经校验逻辑，代理模式通过writeReplace和readResolve将反序列化导向该构造函数，二者协同闭环防护。
Java 中通过私有构造方法配合序列化代理模式，能从根本上堵住反序列化绕过校验的漏洞。核心不是“让对象能被序列化”，而是“确保反序列化出来的对象必须走业务可控的创建路径”——私有构造防止外部直接实例化，代理模式则强制所有反序列化请求都落入构造函数的校验逻辑中。
私有构造方法是安全起点
私有构造本身不参与序列化，但它构成一道防线：任何合法对象（包括反序列化重建的）都必须由该构造函数创建，从而保证校验逻辑不可跳过。
- 构造函数中完成全部参数校验（如非空、范围、格式），失败时抛 IllegalArgumentException，不设默认值
- 避免在构造中调用可被子类重写的方法，防止初始化顺序问题或逻辑被篡改
- 若类需支持单例或严格控制实例化，可在私有构造内加状态检查（如已存在实例则抛异常）
序列化代理接管整个序列化流向
代理模式把原始类从序列化链路中“摘出来”，只让它暴露一个受控的中间人——代理类。这个代理不持有真实对象引用，只存必要字段，且自身不可被滥用。
- 在主类中定义 writeReplace()：序列化前返回代理实例，比如
return new DogProxy(this.name, this.age); - 代理类必须是 static final 内部类或独立顶层类，字段全为 private final，不持外部引用
- 代理类中实现 readResolve()：反序列化完成后，用保存的数据调用主类私有构造函数创建新实例，例如
return new Dog(name, age);
字段与版本控制要精准对齐
代理类不是数据搬运工，而是状态精简器。它只保留重建对象所必需的、可验证的核心字段，其他一律排除。
立即学习“Java免费学习笔记（深入）”；
- 代理类字段与主类关键状态一一对应，敏感字段（如密码）、临时计算值、非 Serializable 引用不进入代理
- 主类不声明 serialVersionUID 或设为 private，防止被意外反序列化；代理类则显式声明自己的 serialVersionUID 管理版本兼容性
- 代理类构造器只做数据提取，校验逻辑统一放在 readResolve() 中执行，确保每次重建都经过完整校验
组合使用才能真正闭环
单独用私有构造，无法阻止默认反序列化机制绕过它；只用代理模式，若主类仍有 public 构造或校验松散，仍可能被滥用。二者必须协同：
- 主类私有构造 + 无 public 构造 → 外部无法绕过校验新建实例
- 主类 writeReplace() 返回代理 → 序列化内容被替换为可信中间结构
- 代理 readResolve() 调用主类私有构造 → 反序列化最终落地仍走校验入口
- 代理类字段 final + 不暴露 readObject/writeObject → 防止代理自身被恶意篡改
