Lezioni

Estendiamo la serializzazione di base in Java: quando l’automatismo di Serializable non basta, viene in aiuto il contratto manuale Externalizable con i metodi writeExternal/ readExternal. In questa lezione vediamo come controllare completamente il formato dei dati, ridurre la dimensione dei file e mantenere la retrocompatibilità, confrontiamo con i flussi ObjectOutputStream/ ObjectInputStream, mostriamo esempi, pro/contro ed errori tipici (costruttore public senza parametri obbligatorio, ordine di scrittura/lettura ecc.).

In questa lezione analizziamo come influenzare i processi di serializzazione e deserializzazione in Java tramite i metodi writeReplace e readResolve: perché sostituire l’oggetto con un proxy, come preservare un singleton, cosa fare con oggetti immutabili e come questo si rapporta a writeObject/ readObject. Esercitazione passo‑passo, diagramma di flusso delle operazioni e analisi degli errori tipici.

Guida pratica alla serializzazione sicura in Java: perché la deserializzazione da fonti non attendibili è pericolosa, come difendersi con ObjectInputFilter, la parola chiave transient, un serialVersionUID esplicito, la verifica dei tipi tramite instanceof e formati di scambio alternativi (JSON/Proto). All'interno — esempi di codice chiari, filtraggio delle classi consentite e analisi degli errori tipici.

In questa lezione analizziamo come Java esegue la serializzazione profonda di un grafo di oggetti: cosa accade con i campi di tipo riferimento, perché tutti gli oggetti annidati devono implementare Serializable, come evitare NotSerializableException e in quali casi aiuta il modificatore transient. Con esempi mostreremo la serializzazione/deserializzazione di oggetti con annidamento, collezioni e riferimenti ciclici, e affronteremo anche gli errori tipici legati a serialVersionUID e a grafi di oggetti di grandi dimensioni.

Come Java serializza strutture dati complesse: da collezioni annidate e gerarchie di ereditarietà fino a grafi di oggetti ciclici. Vedremo perché funziona la serializzazione di Map<String, List<Book>>, come si conservano i tipi reali dei discendenti in List<Animal>, che cosa fa il meccanismo dei riferimenti in presenza di cicli e quali insidie si incontrano. Parleremo del ruolo di ObjectOutputStream/ ObjectInputStream, dei metodi writeObject/ readObject, del campo serialVersionUID e del modificatore transient.

Analizziamo cosa sono i riferimenti ciclici nei grafi di oggetti, perché sono pericolosi per la serializzazione e come gestirli. Mostriamo come gli stream standard di Java — ObjectOutputStream/ ObjectInputStream — tracciano automaticamente gli oggetti già incontrati e scrivono riferimenti (handles), prevenendo StackOverflowError. Esaminiamo le insidie della serializzazione personalizzata ( writeObject/ readObject, defaultWriteObject/ defaultReadObject) e le strategie per gestire i cicli con JSON: annotazioni @JsonIdentityInfo, @JsonBackReference/ @JsonManagedReference, esclusione di campi tramite transient e uso di identificatori.

Come Java conserva e ripristina l’identità degli oggetti nella serializzazione binaria: perché l’equivalenza tramite a. equals( b) non è uguale all’identità ( a == b), come ObjectOutputStream/ ObjectInputStream tracciano il grafo degli oggetti e scrivono «riferimenti ripetuti» invece di duplicati, perché questo funziona correttamente in presenza di cicli e come i metodi writeReplace() e readResolve() possono influenzare l’identità finale. Analisi con esempi: cicli, riferimenti condivisi, pratica ed errori tipici.

In questa lezione esaminiamo i problemi più comuni nella serializzazione delle collezioni: dalla java.io.NotSerializableException (quando gli elementi non implementano Serializable) e alle insidie dei generics con ClassCastException fino all'incompatibilità delle versioni delle classi tramite serialVersionUID. Parleremo delle sfumature delle collezioni immutabili ( List.of(), Set.of(), Map.of()), del comportamento dei campi transient/ static, nonché di prestazioni e dimensioni dei file, dove aiutano la scrittura in streaming e la compressione ( GZIPOutputStream). Otterrete consigli pratici, esempi di codice e raccomandazioni per una deserializzazione sicura ( readObject/ writeObject).

In questa lezione analizziamo i rischi della serializzazione binaria in Java: perché la deserializzazione da fonti non attendibili è pericolosa (catene «gadget chain», RCE), quali insidie comportano metodi speciali come readObject e readResolve, e come difendersi (whitelisting, preferenza per JSON/ XML, librerie sicure come Jackson). Esamineremo in dettaglio la compatibilità tra versioni di classe e il ruolo del campo serialVersionUID, il comportamento in caso di InvalidClassException, le limitazioni di transient/ static, le prestazioni, nonché le best practice e gli errori tipici.

Analizziamo come la cancellazione dei tipi ( type erasure) influisce sulla serializzazione delle collezioni generics: perché a runtime List<String> e List<Integer> sono lo stesso ArrayList, cosa viene effettivamente scritto e letto tramite ObjectOutputStream/ ObjectInputStream, da dove arrivano le ClassCastException e gli avvisi di cast unchecked. Mostreremo esempi con collezioni annidate, Map/ Set, menzioneremo Gson/ Jackson e formuleremo pratiche per una deserializzazione sicura.

Analizziamo come evolvere le classi serializzabili senza rompere i dati: perché fissare serialVersionUID, come la JVM verifica la compatibilità, quali modifiche sono sicure (aggiunta/rimozione di campi) e quali sono critiche (cambio di tipo, spostamento della classe in un package). Mostreremo il ruolo di transient/ static, tecniche di serializzazione personalizzata tramite writeObject/ readObject, la differenza tra serializzazione binaria e XML/JSON, strategie per garantire la compatibilità ed errori tipici (ad esempio, InvalidClassException).

Come evolvere in modo sicuro le classi serializzabili in produzione: cosa succede quando si modificano campi e tipi, come funziona la versione della classe tramite serialVersionUID, quando cambiarla e quando lasciarla invariata, come applicare la migrazione “lazy” tramite readObject/ readFields e la conversione “in-place”, e quali tecniche avanzate esistono come ObjectInputStream.readClassDescriptor(). Analizzeremo uno scenario pratico completo con due versioni della classe e errori tipici, incluse le insidie di InvalidClassException.