ITEM 90: CONSIDER SERIALIZATION PROXIES INSTEAD OF SERIALIZED INSTANCES
??正如在iten 85 和 item 86 中提到的以及本章所討論的奥洼，實(shí)現(xiàn) Serializable 的決定增加了出現(xiàn) bug和安全問(wèn)題的可能性笛坦，因?yàn)樗试S使用一種語(yǔ)言之外的機(jī)制來(lái)創(chuàng)建實(shí)例脸甘，而不是使用普通的構(gòu)造函數(shù)。然而箕戳，有一種技術(shù)可以大大降低這些風(fēng)險(xiǎn)。這種技術(shù)稱(chēng)為序列化代理模式自赔。
??序列化代理模式相當(dāng)簡(jiǎn)單氧猬。首先背犯，設(shè)計(jì)一個(gè)私有的靜態(tài)嵌套類(lèi)，它可以精確地表示封閉類(lèi)的實(shí)例的邏輯狀態(tài)盅抚。這個(gè)嵌套類(lèi)稱(chēng)為封閉類(lèi)的序列化代理漠魏。它應(yīng)該有一個(gè)構(gòu)造函數(shù)，其參數(shù)類(lèi)型是封閉類(lèi)妄均。這個(gè)構(gòu)造函數(shù)只從它的參數(shù)復(fù)制數(shù)據(jù)：它不需要做任何一致性檢查或防御性復(fù)制柱锹。按照設(shè)計(jì)，序列化代理的默認(rèn)序列化形式是封裝類(lèi)的完美序列化形式丛晦。要實(shí)現(xiàn) Serializable奕纫，必須聲明封閉類(lèi)及其序列化代理。
??例如烫沙，考慮在 item 50 中編寫(xiě)的不可變的 Period 類(lèi)匹层，并在 item 88 中使其可序列化。下面是這個(gè)類(lèi)的序列化代理锌蓄。Period 是如此簡(jiǎn)單升筏，它的序列化代理具有與類(lèi)完全相同的字段:
// Serialization proxy for Period class
private static class SerializationProxy implements Serializable {
private final Date start;
private final Date end;
SerializationProxy(Period p) {
this.start = p.start;
this.end = p.end;
}
private static final long serialVersionUID = 234098243823485285L;
// Any number will do (Item 87)
}
??接下來(lái)，將以下 writeReplace 方法添加到封裝類(lèi)中瘸爽。這個(gè)方法可以通過(guò)序列化代理逐字復(fù)制到任何類(lèi)中:
// writeReplace method for the serialization proxy pattern
private Object writeReplace() {
return new SerializationProxy(this);
}
??在封裝類(lèi)上出現(xiàn)此方法將導(dǎo)致序列化系統(tǒng)發(fā)出一個(gè) SerializationProxy 實(shí)例您访，而不是封裝類(lèi)的實(shí)例。換句話說(shuō)剪决，writeReplace 方法在序列化之前將封裝類(lèi)的實(shí)例轉(zhuǎn)換為它的序列化代理灵汪。
??有了這個(gè) writeReplace 方法，序列化系統(tǒng)將永遠(yuǎn)不會(huì)生成封裝類(lèi)的序列化實(shí)例柑潦，但攻擊者可能會(huì)制造一個(gè)實(shí)例享言，試圖違反類(lèi)的不變量。為了保證這樣的攻擊會(huì)失敗渗鬼，只需將這個(gè) readObject 方法添加到封裝類(lèi)中:
// readObject method for the serialization proxy pattern
private void readObject(ObjectInputStream stream) throws InvalidObjectException {
throw new InvalidObjectException("Proxy required");
}
??最后览露，在 SerializationProxy 類(lèi)上提供一個(gè) readResolve 方法，該方法返回一個(gè)邏輯上與封裝類(lèi)等效的實(shí)例譬胎。此方法的存在將導(dǎo)致序列化系統(tǒng)在反序列化時(shí)將序列化代理轉(zhuǎn)換回封裝類(lèi)的實(shí)例差牛。
??這個(gè) readResolve 方法只使用封閉類(lèi)的公共API創(chuàng)建其實(shí)例，這就是該模式的美妙之處堰乔。它在很大程度上消除了序列化的語(yǔ)言外特征偏化，因?yàn)榉葱蛄谢瘜?shí)例是使用與其他實(shí)例相同的構(gòu)造函數(shù)、靜態(tài)工廠和方法創(chuàng)建的镐侯。這使您不必單獨(dú)確保反序列化的實(shí)例遵守類(lèi)的不變量夹孔。如果類(lèi)的靜態(tài)工廠或構(gòu)造函數(shù)建立了這些不變量，并且類(lèi)的實(shí)例方法維護(hù)了它們，那么您就確保了這些不變量也將通過(guò)序列化來(lái)維護(hù)搭伤。
??下面是 Period 為 Period.SerializationProxy 提供的方法:
// readResolve method for Period.SerializationProxy
private Object readResolve() {
return new Period(start, end); // Uses public constructor
}
??與防御性復(fù)制方法(第357頁(yè))一樣只怎，序列化代理方法可以阻止偽字節(jié)流攻擊(第354頁(yè))和內(nèi)部字段盜竊攻擊(第356頁(yè))。與前兩種方法不同怜俐，這種方法允許 Period 的字段為final身堡，這是使 Period 類(lèi)真正不可變所必需的(Item 17)。與前兩種方法不同的是拍鲤，這一種方法不需要太多的思考贴谎。您不必找出哪些字段可能會(huì)被不正當(dāng)?shù)男蛄谢羝茐模膊槐卦诜葱蛄谢^(guò)程中顯式地執(zhí)行有效性檢查季稳。
??在另一種方式中擅这，序列化代理模式比 readObject 中的防御性復(fù)制更強(qiáng)大。序列化代理模式允許反序列化實(shí)例擁有與原始序列化實(shí)例不同的類(lèi)景鼠。你可能不認(rèn)為這在實(shí)踐中有用仲翎，但它是有用的。
??考慮 EnumSet (第36項(xiàng))的情況铛漓。這個(gè)類(lèi)沒(méi)有公共構(gòu)造函數(shù)溯香，只有靜態(tài)工廠。從客戶端的角度來(lái)看浓恶，它們返回 EnumSet 實(shí)例玫坛，但是在當(dāng)前的 OpenJDK 實(shí)現(xiàn)中，它們返回兩個(gè)子類(lèi)中的一個(gè)包晰，具體取決于底層枚舉類(lèi)型的大小湿镀。如果底層枚舉類(lèi)型有 64 個(gè)或更少的元素，靜態(tài)工廠返回一個(gè) RegularEnumSet伐憾；否則勉痴，它們返回一個(gè)JumboEnumSet。
??現(xiàn)在考慮如果你序列化 enum 集合枚舉類(lèi)型的六十元素,然后將五個(gè)元素添加到枚舉類(lèi)型,然后反序列化枚舉集塞耕。這是一個(gè) RegularEnumSetinstance 序列化時(shí),但最好是一旦反序列化 JumboEnumSet 實(shí)例。事實(shí)上嘴瓤，正是這樣扫外，因?yàn)?EnumSet 使用了序列化代理模式。如果您感到好奇廓脆，這里是 EnumSet 的序列化代理筛谚。其實(shí)很簡(jiǎn)單:
// EnumSet's serialization proxy
private static class SerializationProxy <E extends Enum<E>> implements Serializable {
// The element type of this enum set.
private final Class<E> elementType;
// The elements contained in this enum set.
private final Enum<?>[] elements;
SerializationProxy(EnumSet<E> set) {
elementType = set.elementType;
elements = set.toArray(new Enum<?>[0]);
}
private Object readResolve() {
EnumSet<E> result = EnumSet.noneOf(elementType);
for (Enum<?> e : elements)
result.add((E)e);
return result;
}
private static final long serialVersionUID = 362491234563181265L;
}
??序列化代理模式有兩個(gè)限制。它與用戶可擴(kuò)展的類(lèi)不兼容(item 19)停忿。而且驾讲，它與對(duì)象圖包含循環(huán)的某些類(lèi)不兼容:如果您試圖從這樣一個(gè)對(duì)象的序列化代理的 readResolve方法中調(diào)用該對(duì)象上的方法，您將得到一個(gè) ClassCastException，因?yàn)槟€沒(méi)有對(duì)象吮铭，只有它的序列化代理时迫。
??最后，序列化代理模式所增加的功能和安全性并不是免費(fèi)的谓晌。在我的機(jī)器上掠拳，使用序列化代理序列化和反序列化Period實(shí)例比使用防御性復(fù)制要慢14%。
??總之纸肉，當(dāng)您發(fā)現(xiàn)自己必須在客戶端不能擴(kuò)展的類(lèi)上編寫(xiě) readObject 或 writeObject 方法時(shí)溺欧，請(qǐng)考慮序列化代理模式。此模式可能是使用非平凡不變量健壯地序列化對(duì)象的最簡(jiǎn)單方法柏肪。
