Lecciones

En la lección analizamos los riesgos de la serialización binaria en Java: por qué la deserialización desde fuentes no confiables es peligrosa (cadenas «gadget chain», RCE), qué riesgos plantean métodos especiales como readObject y readResolve, y cómo protegerse (whitelisting, rechazo en favor de JSON/ XML, bibliotecas seguras como Jackson). Veremos en detalle la compatibilidad entre versiones de clases y el papel del campo serialVersionUID, el comportamiento ante InvalidClassException, las limitaciones de transient/ static, el rendimiento, así como buenas prácticas y errores típicos.

Desgranamos cómo el borrado de tipos ( type erasure) afecta a la serialización de colecciones genéricas: por qué en tiempo de ejecución List<String> y List<Integer> son el mismo ArrayList, qué exactamente se escribe y se lee a través de ObjectOutputStream/ ObjectInputStream, de dónde salen ClassCastException y las advertencias por unchecked casts. Mostraremos ejemplos con colecciones anidadas, Map/ Set, mencionaremos Gson/ Jackson, y formularemos prácticas para una deserialización segura.

Analizamos cómo evolucionar clases serializables sin romper los datos: por qué fijar serialVersionUID, cómo la JVM comprueba la compatibilidad, qué cambios son seguros (añadir/eliminar campos) y cuáles son críticos (cambiar el tipo, mover la clase a otro paquete). Mostraremos el papel de transient/ static, técnicas de serialización personalizada mediante writeObject/ readObject, la diferencia entre la serialización binaria y XML/JSON, estrategias para garantizar la compatibilidad y errores típicos (por ejemplo, InvalidClassException).

Cómo evolucionar de forma segura las clases serializables en producción: qué pasará al cambiar campos y tipos, cómo funciona la versión de clase mediante serialVersionUID, cuándo cambiarla y cuándo mantenerla, cómo aplicar migración «perezosa» mediante readObject/ readFields y conversión «in-place», y qué técnicas avanzadas existen como ObjectInputStream.readClassDescriptor(). Veremos un escenario práctico completo con dos versiones de una clase y errores típicos, incluidas las trampas de InvalidClassException.

Cómo reducir el tamaño y acelerar la serialización de objetos en Java: excluimos campos innecesarios con transient, tomamos control total mediante Externalizable, aplicamos compresión en streaming ( GZIPOutputStream, ZipOutputStream), aceleramos la E/S con almacenamiento en búfer ( BufferedOutputStream, BufferedInputStream) y copia rápida con FileChannel. transferTo. Para evaluar el rendimiento utilizamos tanto mediciones rápidas con System. nanoTime() como microbenchmarks fiables con JMH. Cerraremos con un mini experimento y el análisis de errores típicos.