Java 中并发修改与序列化对象的安全实践

阿强姑娘_7116

发布时间：2026-11-09 12:08:39

253人浏览过

来源于php中文网

原创

Java 中并发修改与序列化对象的安全实践

java 对象在多线程环境下被同时修改和序列化时，既不会自动加锁，也不保证数据一致性；其行为由 java 内存模型中的“happens-before”关系决定，否则结果不可预测、不可测试、不可移植。

java 对象在多线程环境下被同时修改和序列化时，既不会自动加锁，也不保证数据一致性；其行为由 java 内存模型中的“happens-before”关系决定，否则结果不可预测、不可测试、不可移植。

在 Java 并发编程中，一个常见但危险的误区是认为“只要对象实现了 Serializable，它的序列化过程就会天然同步或保护其状态”。事实恰恰相反：Java 序列化（java.io.Serializable）本身不引入任何内存可见性保障，也不对对象施加任何形式的锁。这意味着：当一个线程正在调用 setter 修改对象字段，而另一个线程同时执行 ObjectOutputStream.writeObject() 时，二者完全可能并发执行——且没有任何 JVM 层面的协调机制来确保操作顺序或状态一致性。

? 为什么没有“对象锁”？

Java 中不存在“锁定某个对象以阻止其他线程访问”的原语。synchronized(obj) 并非锁定 obj 本身，而是获取与该对象关联的内在锁（intrinsic lock），仅能阻塞其他同样尝试 synchronized(obj) 的代码块。若一个线程在 synchronized 块外调用 setter，或另一线程在无同步前提下执行序列化，JVM 不会插入任何屏障（memory barrier），也不会强制刷新缓存。此时，字段更新是否对序列化线程可见，取决于底层 CPU 缓存一致性协议与 JVM 的具体实现——即所谓“evil coin flip”（恶币翻转）：结果可能是旧值、新值，甚至出现字段级撕裂（如对象中部分字段已更新、部分仍为旧值）。

例如：

public class Counter implements Serializable {
    private int value = 0;
    public void increment() { value++; }
}

若线程 A 执行 counter.increment()，线程 B 同时执行 oos.writeObject(counter)，则序列化结果中 value 的值无法确定——可能是 0、1，甚至在极端情况下（如未正确 volatile 或未同步）因指令重排序导致更异常的状态。

立即学习“Java免费学习笔记（深入）”；

Java调试

通过 JDWP 实现 Java 远程调试：连接远程 JVM、设置断点、单步执行代码、查看变量值、获取调用栈。适用于需要调试远程 Java 应用、排查运行时状态、追踪代码执行流程的场景。术语注解 JDWP：Java Debug Wire Protocol，Java 调试有线协议（Java 远程调试底层通信协议） remote JVM：远程 Java 虚拟机 step through code：代码单步调试（步入 / 步过 / 步出调试） inspect variables：变量查看 / 变量检视 stac

下载

⚙️ 性能影响：不是“慢”，而是“不可控开销”

序列化本身不会直接拖慢 setter 调用，但缺乏同步会导致 JVM 无法优化内存访问。为保证跨核可见性，现代 CPU 需要执行昂贵的缓存同步操作（如 mfence 指令或总线锁），而 Java 内存模型将这一成本显式交由开发者承担：只有建立明确的 happens-before 关系（如 synchronized、volatile、Lock、Thread.start/join 等），JVM 才会插入必要屏障。否则，看似“无锁”的代码反而可能因 CPU 频繁探测缓存状态而隐式变慢，且性能波动极大——在开发机上稳定复现的行为，在生产环境多核服务器上可能完全失效。

✅ 正确做法：用 happens-before 构建确定性

要安全地并发修改与序列化同一对象，必须显式建立同步契约：

方案一：粗粒度同步（推荐初学者）
将读写与序列化统一包裹在同一个 synchronized 块中：
```
synchronized (counter) {
    counter.increment();
    oos.writeObject(counter); // 保证看到最新状态
}
```

方案二：使用 volatile + 不可变快照（适合高频读/低频写）
若对象状态变更不频繁，可设计为“写时复制”：

public class SnapshotCounter {
    private volatile Counter snapshot = new Counter(0);
    public void increment() {
        Counter old = snapshot;
        snapshot = new Counter(old.value + 1); // 创建新实例
    }
    public void serializeTo(OutputStream out) throws IOException {
        try (ObjectOutputStream oos = new ObjectOutputStream(out)) {
            oos.writeObject(snapshot); // 读取 volatile 字段，保证可见性
        }
    }
}