Java原生反序列化极度危险，绝不能用于网络或缓存场景；应改用JSON（兼顾可读与防护）或Protobuf（契约驱动、编译期强类型），按HTTP接口、RPC、缓存、日志分层选型，并落实输入校验、类型锁定、敏感字段隔离等加固措施。
Java 原生反序列化（ObjectInputStream.readObject()）在分布式系统中极度危险——它会执行任意构造逻辑、调用 readObject() 方法，历史上 Log4j2、Apache Commons Collections 等高危漏洞均由此触发。它不跨语言、不可读、体积大、版本脆弱，**绝不能用于网络接收或缓存读取场景**。安全替代的核心思路是：放弃“无 schema 的动态反序列化”，改用“有约束、可校验、类型明确”的 JSON 或 Protobuf。
用 JSON 替代：兼顾可读性与运行时防护
JSON 本质是文本协议，天然规避字节码执行风险，但需主动防御字段污染、类型错位和敏感信息泄露：
-
统一使用 Jackson（非 Gson）并禁用不安全特性：关闭
DefaultTyping（防止类型注入），禁用enableDefaultTyping和Unsafe相关解析器；配置DeserializationFeature.FAIL_ON_UNKNOWN_PROPERTIES = true，让未知字段直接报错而非静默丢弃 -
反序列化必须指定具体类型：永远不用
objectMapper.readValue(json, Object.class)或泛型擦除写法；应写成objectMapper.readValue(json, User.class)，确保类型在编译期锁定 -
敏感字段零暴露：密码、token、密钥等字段加
@JsonIgnore；更推荐用 DTO 层隔离——数据库实体（Entity）不直接参与 JSON 传输，只传精简、脱敏的UserDTO -
时间与数字严格校验：禁用
WRITE_DATES_AS_TIMESTAMPS，配合@JsonFormat(pattern = "yyyy-MM-dd HH:mm:ss")统一格式；对金额等关键数值字段，用BigDecimal而非double，避免精度丢失
用 Protobuf 替代：契约驱动，从源头杜绝反序列化攻击
Protobuf 不是“反序列化框架”，而是“编译期强类型协议”——没有运行时反射加载类、不执行任意方法、不支持动态类型，从根本上消除反序列化漏洞土壤：
-
所有消息类型必须预定义在 .proto 文件中：例如
syntax = "proto3"; message Order { string order_id = 1; int32 amount_cents = 2; }；生成 Java 类后，反序列化只能是Order.parseFrom(bytes)，无法绕过 schema - 禁止使用 DynamicMessage 或 UnknownFieldSet 进行运行时解析：它们会引入反射和类型推断，破坏安全边界；所有消息类型必须在编译期已知、静态导入
-
向后兼容靠字段编号保障：新增字段用新编号，废弃字段仅标记
reserved或留空编号，绝不复用；这样旧服务收到含新字段的请求仍能正常解析，不会因字段缺失崩溃或误读 -
与 gRPC 或 Netty 深度集成：gRPC 默认以 Protobuf 为 IDL 和传输格式，自动处理粘包、超时、流控；Netty 配合
ProtobufEncoder/Decoder可直接绑定 ChannelHandler，无需手动拆包
分层选型：不同链路用不同方案
一个健康分布式系统不会只用一种序列化方式，而是按数据流向分层治理：
立即学习“Java免费学习笔记（深入）”；
- 对外 HTTP 接口（如 Spring MVC REST）→ 强制 JSON：前端调试友好、Nginx 可直接日志打印、OpenAPI 文档自动生成；用 Jackson + @Valid + 全局异常处理器拦截反序列化失败
- 内部微服务 RPC（如 gRPC、Dubbo）→ 强制 Protobuf：服务间高频调用，要求低延迟、小体积、强契约；.proto 文件即接口契约，由 CI 流水线校验变更影响
-
缓存层（如 Redis）→ 按读写特征选型：高频读+低体积 → 存 Protobuf 二进制（
SET user:1001 "\x0a\x04..."）；需人工排查或管理后台查看 → 存 JSON 字符串（SET user:1001 '{"user_id":"1001","name":"张三"}'） - 日志与埋点 → JSON 明文：ELK 栈天然解析 JSON，字段可聚合、可检索；避免二进制日志导致排查黑盒
关键加固动作清单
无论选 JSON 还是 Protobuf，以下动作必须落地：
- 所有外部输入（HTTP body、MQ 消息、Redis value）在反序列化前做长度限制（如 JSON 不超 1MB）、字符白名单过滤（防恶意 Unicode 控制符）
- 反序列化失败统一返回 400 Bad Request + 结构化错误码（如
{"code":"INVALID_JSON","field":"age"}），不暴露堆栈或字段名 - CI 阶段扫描代码：禁止出现
ObjectInputStream、readObject、enableDefaultTyping等关键词 - 生产环境 JVM 启动参数加入
-Dsun.rmi.transport.tcp.responseTimeout=5000并禁用 JMX 远程反序列化端口
