Bài học

Trong bài giảng này, chúng ta phân tích các rủi ro của tuần tự hóa nhị phân trong Java: vì sao giải tuần tự từ nguồn không tin cậy nguy hiểm (chuỗi “gadget chain”, RCE), các rủi ro do những phương thức đặc biệt như readObject và readResolve, và cách phòng vệ (whitelisting, chuyển sang JSON/ XML, các thư viện an toàn như Jackson). Chúng ta sẽ xem xét chi tiết khả năng tương thích giữa các phiên bản lớp và vai trò của trường serialVersionUID, hành vi khi gặp InvalidClassException, các giới hạn của transient/ static, hiệu năng, cùng các best practices và lỗi thường gặp.

Phân tích cách cơ chế xóa kiểu ( type erasure) ảnh hưởng đến việc tuần tự hóa các collection generics: vì sao trong thời gian chạy List<String> và List<Integer> — chỉ là cùng một ArrayList, chính xác cái gì được ghi và đọc qua ObjectOutputStream/ ObjectInputStream, từ đâu xuất hiện ClassCastException và các cảnh báo về ép kiểu unchecked. Chúng tôi sẽ minh họa bằng ví dụ với collection lồng nhau, Map/ Set, nhắc đến Gson/ Jackson, và đúc kết các thực hành giải tuần tự an toàn.

Cùng tìm hiểu cách tiến hóa các lớp có thể tuần tự hóa mà không làm hỏng dữ liệu: vì sao cần cố định serialVersionUID, JVM kiểm tra tính tương thích như thế nào, những thay đổi nào an toàn (thêm/xóa trường) và những thay đổi nào là nghiêm trọng (đổi kiểu, chuyển lớp sang package khác). Trình bày vai trò của transient/ static, kỹ thuật tuần tự hóa tùy biến qua writeObject/ readObject, khác biệt giữa tuần tự hóa nhị phân và XML/JSON, các chiến lược đảm bảo tính tương thích và các lỗi thường gặp (ví dụ, InvalidClassException).

Cách phát triển an toàn các lớp có thể tuần tự hóa trong môi trường production: điều gì xảy ra khi thay đổi trường và kiểu, cơ chế phiên bản của lớp thông qua serialVersionUID hoạt động thế nào, khi nào nên thay đổi và khi nào nên giữ nguyên, cách áp dụng di trú “lười” qua readObject/ readFields và chuyển đổi “in-place”, cùng các kỹ thuật nâng cao như ObjectInputStream.readClassDescriptor(). Chúng ta sẽ phân tích một kịch bản thực tế đầy đủ với hai phiên bản lớp và các lỗi điển hình, bao gồm cả bẫy InvalidClassException.

Cách giảm kích thước và tăng tốc tuần tự hóa đối tượng trong Java: loại bỏ các trường thừa với transient, nắm toàn quyền kiểm soát qua Externalizable, áp dụng nén theo luồng ( GZIPOutputStream, ZipOutputStream), tăng tốc I/O bằng bộ đệm ( BufferedOutputStream, BufferedInputStream) và sao chép nhanh qua FileChannel. transferTo. Để đánh giá hiệu năng, dùng cả phép đo nhanh bằng System. nanoTime(), lẫn microbenchmark đáng tin cậy trên JMH. Kết lại bằng một mini‑thí nghiệm và phân tích các lỗi điển hình.