レッスン

この講義では、Java におけるバイナリシリアライゼーションのリスクを解説します。信頼できないソースからのデシリアライズがなぜ危険なのか（「gadget chain」、RCE）、 readObject や readResolve のような特別なメソッドがもたらす脅威、そしてどのように防御するか（ホワイトリスト方式、 JSON/ XML への切り替え、 Jackson のような安全なライブラリ）。クラスのバージョン互換性と serialVersionUID フィールドの役割、 InvalidClassException の挙動、 transient/ static の制約、パフォーマンス、さらにベストプラクティスと典型的なミスについても詳しく説明します。

コンパイル時の型消去（ type erasure）が Generics コレクションのシリアライズにどう影響するかを解説します。実行時には List<String> と List<Integer> が同じ ArrayList として扱われる理由、 ObjectOutputStream/ ObjectInputStream を通じて実際に何が書き込まれ・読み込まれるのか、 ClassCastException や unchecked キャスト警告がどこから来るのかを説明します。入れ子のコレクションや Map/ Set の例、 Gson/ Jackson にも触れ、安全なデシリアライズの実践をまとめます。

シリアライズ可能なクラスをどのように進化させてもデータを壊さないかを解説します: なぜ固定の serialVersionUID が必要なのか、JVM が互換性をどう検証するのか、どの変更が安全（フィールドの追加/削除）で、どれが危険（型変更、クラスを別パッケージへ移動）なのか。 transient/ static の役割、 writeObject/ readObject によるカスタムシリアライズの手法、バイナリシリアライズと XML/JSON の違い、互換性確保の戦略と典型的な誤り（例: InvalidClassException）を示します。

本番環境でシリアライズ可能なクラスを安全に進化させる方法：フィールドや型を変更すると何が起こるのか、クラスのバージョンを serialVersionUID でどう管理するか、いつ変更し、いつ据え置くべきか、 readObject/ readFields を用いた「遅延」移行や「インプレース」変換の適用方法、さらに ObjectInputStream.readClassDescriptor() のような高度な手法。2 つのクラス版を使った実践的なシナリオと、 InvalidClassException の落とし穴を含む典型的なミスを解説します。

Java でオブジェクトのシリアライゼーションを小さく・速くする方法: transient で不要なフィールドを除外し、 Externalizable で完全に制御し、ストリーム圧縮（ GZIPOutputStream、 ZipOutputStream）を適用し、I/O をバッファリング（ BufferedOutputStream、 BufferedInputStream）して、 FileChannel. transferTo による高速コピーでスピードアップします。性能評価には手早い計測として System. nanoTime() を、正確なマイクロベンチマークとして JMH を使います。最後にミニ実験と典型的なミスの解説で締めくくります。