Java中序列化对象为字节数组最直接方式是ObjectOutputStream配合ByteArrayOutputStream，但要求对象实现Serializable接口，并需处理transient字段、serialVersionUID及安全风险；推荐生产环境使用Jackson（JSON）、Protobuf等更健壮跨语言方案。
Java 中将对象序列化为字节数组，最直接的方式是使用 ObjectOutputStream 配合 ByteArrayOutputStream。但要注意：该对象必须实现 Serializable 接口，且需谨慎处理不可序列化字段、版本兼容性与安全性问题。
基础写法：用 ByteArrayOutputStream + ObjectOutputStream
这是标准 JDK 提供的原生方式，无需额外依赖：
- 创建
ByteArrayOutputStream作为底层输出流 - 将其包装进
ObjectOutputStream - 调用
writeObject()写入对象 - 调用
toByteArray()获取字节数组
示例代码：
public static byte[] serialize(Object obj) throws IOException {
try (ByteArrayOutputStream bos = new ByteArrayOutputStream();
ObjectOutputStream oos = new ObjectOutputStream(bos)) {
oos.writeObject(obj);
return bos.toByteArray();
}
}
反序列化：从字节数组还原对象
对应地，用 ByteArrayInputStream 和 ObjectInputStream 还原：
立即学习“Java免费学习笔记（深入）”；
public static <T> T deserialize(byte[] bytes, Class<T> type)
throws IOException, ClassNotFoundException {
try (ByteArrayInputStream bis = new ByteArrayInputStream(bytes);
ObjectInputStream ois = new ObjectInputStream(bis)) {
return type.cast(ois.readObject());
}
}
注意：反序列化时类路径、包名、serialVersionUID 必须一致，否则抛 InvalidClassException。
关键注意事项
-
必须实现
Serializable：否则抛NotSerializableException -
标记敏感字段为
transient：避免密码、连接等不应传输的字段被序列化 -
显式定义
serialVersionUID：防止因编译器自动生成差异导致反序列化失败 - 不推荐用于跨语言或长期存储：Java 原生序列化格式封闭、脆弱、有安全风险（如反序列化 gadget 攻击）
更实用的替代方案
生产环境建议优先考虑以下更健壮、可读、跨语言的序列化方式：
- JSON（如 Jackson / Gson）：适合大多数 DTO、配置、API 交互，人类可读，生态成熟
- Protobuf：高性能、紧凑、强契约（.proto 定义）、多语言支持，适合微服务通信
- Avro / Kryo（二进制）：Kryo 更快但不跨语言；Avro 支持 schema 演进，适合大数据场景
例如用 Jackson 转 JSON 字节数组（UTF-8 编码）：
ObjectMapper mapper = new ObjectMapper(); byte[] jsonBytes = mapper.writeValueAsBytes(obj); // 序列化 MyClass obj = mapper.readValue(jsonBytes, MyClass.class); // 反序列化
