Lezioni

In questa lezione analizziamo i rischi della serializzazione binaria in Java: perché la deserializzazione da fonti non attendibili è pericolosa (catene «gadget chain», RCE), quali insidie comportano metodi speciali come readObject e readResolve, e come difendersi (whitelisting, preferenza per JSON/ XML, librerie sicure come Jackson). Esamineremo in dettaglio la compatibilità tra versioni di classe e il ruolo del campo serialVersionUID, il comportamento in caso di InvalidClassException, le limitazioni di transient/ static, le prestazioni, nonché le best practice e gli errori tipici.

Analizziamo come la cancellazione dei tipi ( type erasure) influisce sulla serializzazione delle collezioni generics: perché a runtime List<String> e List<Integer> sono lo stesso ArrayList, cosa viene effettivamente scritto e letto tramite ObjectOutputStream/ ObjectInputStream, da dove arrivano le ClassCastException e gli avvisi di cast unchecked. Mostreremo esempi con collezioni annidate, Map/ Set, menzioneremo Gson/ Jackson e formuleremo pratiche per una deserializzazione sicura.

Analizziamo come evolvere le classi serializzabili senza rompere i dati: perché fissare serialVersionUID, come la JVM verifica la compatibilità, quali modifiche sono sicure (aggiunta/rimozione di campi) e quali sono critiche (cambio di tipo, spostamento della classe in un package). Mostreremo il ruolo di transient/ static, tecniche di serializzazione personalizzata tramite writeObject/ readObject, la differenza tra serializzazione binaria e XML/JSON, strategie per garantire la compatibilità ed errori tipici (ad esempio, InvalidClassException).

Come evolvere in modo sicuro le classi serializzabili in produzione: cosa succede quando si modificano campi e tipi, come funziona la versione della classe tramite serialVersionUID, quando cambiarla e quando lasciarla invariata, come applicare la migrazione “lazy” tramite readObject/ readFields e la conversione “in-place”, e quali tecniche avanzate esistono come ObjectInputStream.readClassDescriptor(). Analizzeremo uno scenario pratico completo con due versioni della classe e errori tipici, incluse le insidie di InvalidClassException.

Come ridurre la dimensione e accelerare la serializzazione degli oggetti in Java: escludiamo i campi superflui con transient, prendiamo il pieno controllo tramite Externalizable, applichiamo la compressione a flusso ( GZIPOutputStream, ZipOutputStream), acceleriamo l’I/O con la bufferizzazione ( BufferedOutputStream, BufferedInputStream) e la copia veloce tramite FileChannel. transferTo. Per valutare le prestazioni utilizziamo sia misurazioni rapide con System. nanoTime(), sia microbenchmark affidabili con JMH. Concluderemo con un mini‑esperimento e l’analisi degli errori tipici.