Java序列化加密需重写private writeObject和readObject方法，敏感字段标记transient，用AES/GCM随机IV加密写入、解密还原，密钥须动态加载。
Java 中对序列化数据加密保护，不能靠配置或注解自动完成，必须主动重写 writeObject 和 readObject 方法，手动接管序列化流程，对敏感字段单独加密写入、解密还原。
明确哪些字段需要加密并标记 transient
先识别真实敏感字段，如 password、idCard、token、apiKey 等。这些字段应声明为 transient —— 这样它们不会被 defaultWriteObject() 自动写入，强制你显式处理，避免遗漏或明文残留。
- 不加
transient又不加密 → 字段以明文写入字节流，等同裸奔 - 加了
transient却没在writeObject中手动写入 → 反序列化后该字段为null或默认值 - 推荐统一策略：所有待加密字段都加
transient，并在writeObject中集中加密写入
重写 private writeObject 实现加密写入
方法签名必须严格为 private void writeObject(ObjectOutputStream out) throws IOException，JVM 才会识别并调用。执行三步写入：
- 调用
out.defaultWriteObject()：序列化所有非transient、非static字段 - 对每个
transient敏感字段加密：使用 AES/GCM（推荐）或 AES/CBC+HMAC，每次生成新 IV（如 12 字节），确保密钥安全加载（不硬编码） - 按固定顺序写入加密产物：先写 IV（
out.write(iv)），再写密文长度（out.writeInt(len)），最后写密文字节（out.write(ciphertext)）
配套重写 private readObject 完成解密还原
若只加密不配对解密，反序列化会失败或字段错位。方法签名同样必须是 private void readObject(ObjectInputStream in) throws IOException, ClassNotFoundException，步骤与写入严格镜像：
立即学习“Java免费学习笔记（深入）”；
- 先调用
in.defaultReadObject()恢复普通字段 - 按写入顺序读取：读 IV（如
byte[12]）、读密文长度、读对应长度密文字节 - 用相同密钥和刚读到的 IV 解密，结果赋值给对应
transient字段（如this.password = decrypt(iv, ciphertext)）
关键细节不能忽略
以下任一疏漏都会让加密失效：
-
writeObject和readObject必须都是 private，不可 public/protected，也不可被子类覆盖 - 禁用 ECB 模式；AES/GCM 是首选（自带完整性校验），若用 CBC 必须额外做 HMAC 验证
- IV 绝对不能固定或复用，必须每次加密随机生成，并随密文一起序列化
- 密钥严禁写死在代码里，应从环境变量、系统属性或安全配置中心动态加载
