writeObject 是 Java 序列化中实现安全过滤最直接可控的机制，通过重写 private void writeObject(ObjectOutputStream) 可精细控制字段写入、敏感数据脱敏、跳过不可序列化资源，并需严格遵循签名约束。
Java 对象序列化中，writeObject 是实现安全过滤最直接、最可控的机制之一——它不依赖外部库，也不改变类签名，而是由 JVM 在序列化时自动识别并调用，专用于精细控制哪些字段写入、如何处理敏感数据、是否跳过不可序列化资源。
为什么 writeObject 能做到安全过滤
默认序列化会无差别地保存所有非 transient、非静态字段，包括密码、连接句柄、缓存对象等高危内容。而重写 private void writeObject(ObjectOutputStream) 后，你可以：
- 完全绕过默认逻辑，只输出你认可的数据
- 对敏感字段做脱敏（如只存哈希值、空字符串或占位符）
- 跳过不可序列化字段（如
Thread、Socket），避免NotSerializableException - 插入校验逻辑，比如拒绝序列化未初始化或状态异常的对象
正确写法的关键约束
这个方法不是普通工具函数，JVM 只认特定签名，稍有偏差就失效，导致“看似正常，实则漏控”：
- 必须是 private，不能是
public或protected - 参数类型必须严格为
ObjectOutputStream，不能是父类或自定义子类 - 返回类型必须是
void，不能加static、final或泛型修饰 - 异常声明可省略（因为
ObjectOutputStream.writeXXX()已声明IOException），但不能擅自改成throws Exception
典型安全过滤写法示例
假设一个用户类含明文密码和临时缓存，需过滤密码、忽略缓存、保留其余字段：
Kibana Saved Objects
下载
通过 REST API 管理 Kibana 保存的对象（仪表板、Lens 可视化等）。适用于：① 以编程方式创建、更新、删除仪表板和 Lens 可视化。
立即学习“Java免费学习笔记（深入）”；
private void writeObject(ObjectOutputStream out) throws IOException {
// 1. 先写入所有常规字段（自动跳过 transient）
out.defaultWriteObject();
// 2. 手动处理敏感字段：只写密码哈希，不写原文
out.writeUTF(Objects.nonNull(password) ? DigestUtils.md5Hex(password) : "");
// 3. 完全跳过不可序列化的 cache 字段（它被声明为 transient，defaultWriteObject 已忽略）
// 若未声明 transient，此处可跳过：不调用任何 write 方法即可
}
对应地，readObject 必须按相同顺序读取，并重建状态：
private void readObject(ObjectInputStream in) throws IOException, ClassNotFoundException {
in.defaultReadObject();
String hashed = in.readUTF();
// 密码字段设为 null 或留空，不还原明文
this.password = null;
}
比 transient 更灵活的过滤场景
transient 是粗粒度开关，而 writeObject 支持细粒度策略：
- 字段值动态脱敏：比如日志字段只在 debug 模式下序列化
- 兼容性兜底：老版本字段已删除，但反序列化仍需读取并丢弃，避免
InvalidClassException - 写入元数据：追加时间戳、序列化来源标识、校验码，便于审计与验证
- 条件写入：检查对象状态（如
isValid()返回 false 时提前抛IOException中断序列化）
