[关闭]
@natsumi 2017-04-22T15:46:53.000000Z 字数 11452 阅读 2837

Serialable和Parcelable

Android Java


参考文章:

Android中的Serialable和Parcelable的区别
http://blog.csdn.net/jiangwei0910410003/article/details/18989943

Java中的序列化Serialable高级详解
http://blog.csdn.net/caomiao2006/article/details/51588838

目录

Serialable和Parcelable对比

作用

Serializable的作用是为了保存对象的属性到本地文件、数据库、网络流、RMI(即Remote Method Invoke 远程方法调用)以方便数据传输,当然这种传输可以是程序内的也可以是两个程序间的。

而Android的Parcelable的设计初衷是因为Serializable效率过慢,为了在程序内不同组件间以及不同Android程序间(AIDL)(IPC进程间通信)高效的传输数据而设计,这些数据仅在内存中存在,Parcelable是通过IBinder通信的消息的载体。

效率及选择

Serializable在序列化的时候会产生大量的临时变量,导致频繁GC,Parcelable则不会,内存开销较小。所以在内存间数据传输时推荐使用Parcelable,如activity间传输数据、或进程间传递。

Parcelable被设计为IPC通信数据序列化方案,不适用于保存在磁盘上,而Serializable可将数据持久化方便保存,所以在需要保存或网络传输数据时选择Serializable,因为android不同版本Parcelable可能不同,所以不推荐使用Parcelable进行数据持久化。

Parcelable

Parcelable则需要实现writeToParceldescribeContents函数以及静态的CREATOR变量(createFromParcel方法调用的构造方法 protect 序列化类名(Parcel in)),实际上就是将如何打包和解包的工作自己来定义,而序列化的这些操作完全由底层实现。

Parcelable的一个实现例子如下

  1. public class MyParcelable implements Parcelable {
  2. private int mData;
  3. private String mStr;
  4. public int describeContents() {
  5. return 0;
  6. }
  7. // 写数据进行保存
  8. public void writeToParcel(Parcel out, int flags) {
  9. out.writeInt(mData);
  10. out.writeString(mStr);
  11. }
  12. // 用来创建自定义的Parcelable的对象
  13. public static final Parcelable.Creator<MyParcelable> CREATOR
  14. = new Parcelable.Creator<MyParcelable>() {
  15. public MyParcelable createFromParcel(Parcel in) {
  16. return new MyParcelable(in);
  17. }
  18. public MyParcelable[] newArray(int size) {
  19. return new MyParcelable[size];
  20. }
  21. };
  22. // 读数据进行恢复
  23. protect MyParcelable(Parcel in) {
  24. mData = in.readInt();
  25. mStr = in.readString();
  26. }
  27. }

Serialable

实现 Serializable 接口,使用 ObjectInputStream 和 ObjectOutputStream 进行对象的读写。

序列化 ID 的问题

情境 & 问题

两个客户端 A 和 B 试图通过网络传递对象数据,A 端将对象 C 序列化为二进制数据再传给 B,B 反序列化得到 C。

C 对象的全类路径假设为 com.inout.Test,在 A 和 B 端都有这么一个类文件,功能代码完全一致。也都实现了 Serializable 接口,但是反序列化时总是提示不成功。

解决

虚拟机是否允许反序列化,不仅取决于类路径和功能代码是否一致,一个非常重要的一点是两个类的序列化 ID 是否一致(就是 private static final long serialVersionUID = 1L)。清单 1 中,虽然两个类的功能代码完全一致,但是序列化 ID 不同,他们无法相互序列化和反序列化。

  1. //清单 1. 相同功能代码不同序列化 ID 的类对比
  2. package com.inout;
  3. import java.io.Serializable;
  4. public class A implements Serializable {
  5. private static final long serialVersionUID = 1L;
  6. private String name;
  7. public String getName() {
  8. return name;
  9. }
  10. public void setName(String name) {
  11. this.name = name;
  12. }
  13. }
  14. package com.inout;
  15. import java.io.Serializable;
  16. public class A implements Serializable {
  17. private static final long serialVersionUID = 2L;
  18. private String name;
  19. public String getName() {
  20. return name;
  21. }
  22. public void setName(String name) {
  23. this.name = name;
  24. }
  25. }

为什么要有SerialVersionUID?

应该说为什么要手动声明一个ServialVersionUID。因为只要你做了序列化了,JAVA就会自动给你加上一个SerialVersionUID,这种情况下,只有同一次编译生成的class才会生成相同的serialVersionUID 。Java的序列化机制是通过在运行时判断类的serialVersionUID来验证版本一致性的。

Java强烈建议我们显式的声明一个SerialVersionUID,因为SerialVersionUID默认值的计算是根据类的各个方面得来的(属性,方法。。。)。

详情:http://docs.oracle.com/javase/8/docs/api/java/io/Serializable.html

在进行反序列化时,JVM会把传来的字节流中的serialVersionUID与本地相应实体(类)的serialVersionUID进行比较,如果相同就认为是一致的,可以进行反序列化,否则就会出现序列化版本不一致的异常。

当你的修改了你的类(属性和方法),那么你当前类的默认SerialVersionUID (local class serialVersionUID) 就会改变,和你以前序列化到本地的SerialVersionUID (stream classdesc serialVersionUID) 不同,那么你这时候反序列就会出错!抛出异常java.io.InvalidClassException

如果我们不希望通过编译来强制划分软件版本,即实现序列化接口的实体能够兼容先前版本,未作更改的类,就需要显式地定义一个名为serialVersionUID,类型为long的变量,不修改这个变量值的序列化实体都可以相互进行串行化和反串行化。

例子

运行下面代码输出:
HI,My name is hackingwu

  1. //TestSerializableUID.java
  2. package com.example;
  3. import java.io.Serializable;
  4. import java.io.FileInputStream;
  5. import java.io.FileOutputStream;
  6. import java.io.ObjectInputStream;
  7. import java.io.ObjectOutputStream;
  8. class Person implements Serializable {
  9. private static final long serialVersionUID = 2;
  10. private String name;
  11. private String address;
  12. // private String age;
  13. public String getName() {
  14. return name;
  15. }
  16. public void setName(String name) {
  17. this.name = name;
  18. }
  19. public String getAddress() {
  20. return address;
  21. }
  22. public void setAddress(String address) {
  23. this.address = address;
  24. }
  25. }
  26. public class TestSerializableUID {
  27. public static void main(String[] args) throws Exception {
  28. Person person = new Person();
  29. person.setName("hackingwu");
  30. //序列化
  31. ObjectOutputStream oo = new ObjectOutputStream(new FileOutputStream("test"));
  32. oo.writeObject(person);
  33. oo.close();
  34. //反序列化
  35. ObjectInputStream oi = new ObjectInputStream(new FileInputStream("test"));
  36. Person person_back = (Person) oi.readObject();
  37. System.out.println("HI,My name is " + person_back.getName());
  38. oi.close();
  39. }
  40. }

将第14行的代码uncomment,加入年龄属性
第11行comment,不显式声明serialVersionUID,让JVM来生成。
37~42行comment,删掉序列化的部分,直接从之前序列化的结果进行反序列化。
运行出错

  1. Exception in thread "main" java.io.InvalidClassException: com.example.Person; local class incompatible: stream classdesc serialVersionUID = -7366164279653131395, local class serialVersionUID = 8208237789042014552
  2. at java.io.ObjectStreamClass.initNonProxy(ObjectStreamClass.java:616)
  3. at java.io.ObjectInputStream.readNonProxyDesc(ObjectInputStream.java:1630)
  4. at java.io.ObjectInputStream.readClassDesc(ObjectInputStream.java:1521)
  5. at java.io.ObjectInputStream.readOrdinaryObject(ObjectInputStream.java:1781)
  6. at java.io.ObjectInputStream.readObject0(ObjectInputStream.java:1353)
  7. at java.io.ObjectInputStream.readObject(ObjectInputStream.java:373)
  8. at com.example.TestSerializable.main(TestSerializable.java:44)
  9. at sun.reflect.NativeMethodAccessorImpl.invoke0(Native Method)
  10. at sun.reflect.NativeMethodAccessorImpl.invoke(NativeMethodAccessorImpl.java:62)
  11. at sun.reflect.DelegatingMethodAccessorImpl.invoke(DelegatingMethodAccessorImpl.java:43)
  12. at java.lang.reflect.Method.invoke(Method.java:498)
  13. at com.intellij.rt.execution.application.AppMain.main(AppMain.java:147)
  14. Process finished with exit code 1

序列化ID的应用案例----Facade模式

外观模式是为应用程序提供统一的访问接口,案例程序中的 Client客户端使用了该模式,案例程序结构图如图所示。

外观模式

Client 端通过 Facade Object 才可以与业务逻辑对象进行交互。而客户端的 Facade Object 不能直接由 Client 生成,而是需要 Server 端生成,然后序列化后通过网络将二进制对象数据传给 Client,Client 负责反序列化得到 Facade 对象。该模式可以使得 Client 端程序的使用需要服务器端的许可,同时 Client 端和服务器端的 Facade Object 类需要保持一致。当服务器端想要进行版本更新时,只要将服务器端的 Facade Object 类的序列化 ID 再次生成,当 Client 端反序列化 Facade Object 就会失败,也就是强制 Client 端从服务器端获取最新程序。

序列化不保存静态变量

  1. //清单 2. 静态变量序列化问题代码
  2. public class Test implements Serializable {
  3. private static final long serialVersionUID = 1L;
  4. public static int staticVar = 5;
  5. public static void main(String[] args) {
  6. try {
  7. //初始时staticVar为5
  8. ObjectOutputStream out = new ObjectOutputStream(
  9. new FileOutputStream("result.obj"));
  10. out.writeObject(new Test());
  11. out.close();
  12. //序列化后修改为10
  13. Test.staticVar = 10;
  14. ObjectInputStream oin = new ObjectInputStream(new FileInputStream(
  15. "result.obj"));
  16. Test t = (Test) oin.readObject();
  17. oin.close();
  18. //再读取,通过t.staticVar打印新的值
  19. System.out.println(t.staticVar);
  20. } catch (FileNotFoundException e) {
  21. e.printStackTrace();
  22. } catch (IOException e) {
  23. e.printStackTrace();
  24. } catch (ClassNotFoundException e) {
  25. e.printStackTrace();
  26. }
  27. }
  28. }

清单 2 中的 main 方法,将对象序列化后,修改静态变量的数值,再将序列化对象读取出来,然后通过读取出来的对象获得静态变量的数值并打印出来。依照清单 2,这个 System.out.println(t.staticVar) 语句输出的是 10 还是 5 呢?

最后的输出是 10,对于无法理解的读者认为,打印的 staticVar 是从读取的对象里获得的,应该是保存时的状态才对。之所以打印 10 的原因在于序列化时,并不保存静态变量,这其实比较容易理解,序列化保存的是对象的状态,静态变量属于类的状态,因此 序列化并不保存静态变量。

父类的序列化

情境

一个子类实现了 Serializable 接口,它的父类都没有实现 Serializable 接口,序列化该子类对象,然后反序列化后输出父类定义的某变量的数值,该变量数值与序列化时的数值不同。

解决

要想将父类对象也序列化,就需要让父类也实现Serializable 接口。如果父类不实现的话的,就需要有默认的无参的构造函数。

在父类没有实现 Serializable 接口时,虚拟机是不会序列化父对象的,而一个 Java 对象的构造必须先有父对象,才有子对象,反序列化也不例外。所以反序列化时,为了构造父对象,只能调用父类的无参构造函数作为默认的父对象。因此当我们取父对象的变量值时,它的值是调用父类无参构造函数后的值。如果你考虑到这种序列化的情况,在父类无参构造函数中对变量进行初始化,否则的话,父类变量值都是默认声明的值,如 int 型的默认是 0,string 型的默认是 null。

Transient 关键字

Transient 关键字的作用是控制变量的序列化,在变量声明前加上该关键字,可以阻止该变量被序列化到文件中,在被反序列化后,transient 变量的值被设为初始值,如 int 型的是 0,对象型的是 null。

父类序列化规则使用案例

我们熟悉使用 Transient 关键字可以使得字段不被序列化,那么还有别的方法吗?

根据父类对象序列化的规则,我们可以将不需要被序列化的字段抽取出来放到父类中,子类实现 Serializable 接口,父类不实现,根据父类序列化规则,父类的字段数据将不被序列化。

自定义read/writeObject方法对敏感字段加密

情境

服务器端给客户端发送序列化对象数据,对象中有一些数据是敏感的,比如密码字符串等,希望对该密码字段在序列化时,进行加密,而客户端如果拥有解密的密钥,只有在客户端进行反序列化时,才可以对密码进行读取,这样可以一定程度保证序列化对象的数据安全。

解决

在序列化过程中,虚拟机会试图调用对象类里的 writeObject 和 readObject 方法,执行用户自定义的序列化和反序列化,如果没有这样的方法,则默认调用是 ObjectOutputStream 的 defaultWriteObject 方法以及 ObjectInputStream 的 defaultReadObject 方法。

用户自定义的 writeObject 和 readObject 方法可以允许用户控制序列化的过程,比如可以在序列化的过程中动态改变序列化的数值。基于这个原理,可以在实际应用中得到使用,用于敏感字段的加密工作,清单 3 展示了这个过程。

  1. //清单3 加密序列化
  2. public class TestSerializeEncryption implements Serializable {
  3. private static final long serialVersionUID = 1L;
  4. private String password = "pass";
  5. public String getPassword() {
  6. return password;
  7. }
  8. public void setPassword(String password) {
  9. this.password = password;
  10. }
  11. private void writeObject(ObjectOutputStream out) {
  12. try {
  13. ObjectOutputStream.PutField putFields = out.putFields();
  14. System.out.println("原密码:" + password);
  15. password = "encryption";//模拟加密
  16. putFields.put("password", password);
  17. System.out.println("加密后的密码" + password);
  18. out.writeFields();
  19. } catch (IOException e) {
  20. e.printStackTrace();
  21. }
  22. }
  23. private void readObject(ObjectInputStream in) {
  24. try {
  25. ObjectInputStream.GetField readFields = in.readFields();
  26. Object object = readFields.get("password", "");
  27. System.out.println("要解密的字符串:" + object.toString());
  28. password = "pass";//模拟解密,需要获得本地的密钥
  29. } catch (IOException e) {
  30. e.printStackTrace();
  31. } catch (ClassNotFoundException e) {
  32. e.printStackTrace();
  33. }
  34. }
  35. public static void main(String[] args) {
  36. try {
  37. ObjectOutputStream out = new ObjectOutputStream(
  38. new FileOutputStream("result.obj"));
  39. out.writeObject(new TestSerializeEncryption());
  40. out.close();
  41. ObjectInputStream oin = new ObjectInputStream(new FileInputStream(
  42. "result.obj"));
  43. TestSerializeEncryption t = (TestSerializeEncryption) oin.readObject();
  44. System.out.println("解密后的字符串:" + t.getPassword());
  45. oin.close();
  46. } catch (FileNotFoundException e) {
  47. e.printStackTrace();
  48. } catch (IOException e) {
  49. e.printStackTrace();
  50. } catch (ClassNotFoundException e) {
  51. e.printStackTrace();
  52. }
  53. }
  54. }

在清单 3 的 writeObject 方法中,对密码进行了加密,在 readObject 中则对 password 进行解密,只有拥有密钥的客户端,才可以正确的解析出密码,确保了数据的安全。执行清单 3 后控制台输出:

  1. 原密码:pass
  2. 加密后的密码encryption
  3. 要解密的字符串:encryption
  4. 解密后的字符串:pass

加密序列化案例

RMI(即Remote Method Invoke 远程方法调用) 技术是完全基于 Java 序列化技术的,服务器端接口调用所需要的参数对象来至于客户端,它们通过网络相互传输。这就涉及 RMI 的安全传输的问题。一些敏感的字段,如用户名密码(用户登录时需要对密码进行传输),我们希望对其进行加密,这时,就可以采用本节介绍的方法在客户端对密码进行加密,服务器端进行解密,确保数据传输的安全性。

序列化存储规则

情境 & 问题

代码如清单 4 所示。

  1. //清单 4. 存储规则问题代码
  2. import java.io.*;
  3. /**
  4. * Created by tiantian on 3/27/17.
  5. */
  6. public class TestSerializeStorge implements Serializable {
  7. //private String password = "pass";
  8. public static void main(String[] args) {
  9. try {
  10. ObjectOutputStream out = new ObjectOutputStream(
  11. new FileOutputStream("result1.obj"));
  12. TestSerializeStorge test = new TestSerializeStorge();
  13. //试图将对象两次写入文件
  14. out.writeObject(test);
  15. out.flush();
  16. System.out.println(new File("result1.obj").length());
  17. out.writeObject(test);
  18. out.close();
  19. System.out.println(new File("result1.obj").length());
  20. //从文件依次读出两个文件
  21. ObjectInputStream oin = new ObjectInputStream(new FileInputStream(
  22. "result1.obj"));
  23. TestSerializeStorge t1 = (TestSerializeStorge) oin.readObject();
  24. TestSerializeStorge t2 = (TestSerializeStorge) oin.readObject();
  25. oin.close();
  26. //判断两个引用是否指向同一个对象
  27. System.out.println(t1 == t2);
  28. } catch (FileNotFoundException e) {
  29. e.printStackTrace();
  30. } catch (IOException e) {
  31. e.printStackTrace();
  32. } catch (ClassNotFoundException e) {
  33. e.printStackTrace();
  34. }
  35. }
  36. }

清单 4 中对同一对象两次写入文件,打印出写入一次对象后的存储大小和写入两次后的存储大小,然后从文件中反序列化出两个对象,比较这两个对象是否为同一对象。

一般的思维是,两次写入对象,文件大小会变为两倍的大小,反序列化时,由于从文件读取,生成了两个对象,判断相等时应该是输入 false 才对,但是最后结果输出:

  1. //清单 4 输出
  2. 52
  3. 57
  4. true

尝试uncomment第8行,给对象加一个属性。

  1. //清单 4 输出
  2. 91
  3. 96
  4. true

解释

我们看到,第二次写入对象时文件只增加了 5 字节,并且两个对象是相等的,这是为什么呢?

Java 序列化机制为了节省磁盘空间,具有特定的存储规则,当写入文件的为同一对象时,并不会再将对象的内容进行存储,而只是再次存储一份引用,上面增加的 5 字节的存储空间就是新增引用和一些控制信息的空间。反序列化时,恢复引用关系,使得清单 3 中的 t1 和 t2 指向唯一的对象,二者相等,输出 true。该存储规则极大的节省了存储空间。

案例分析

  1. //清单 5. 案例代码
  2. ObjectOutputStream out = new ObjectOutputStream(new FileOutputStream("result.obj"));
  3. Test test = new Test();
  4. test.i = 1;
  5. out.writeObject(test);
  6. out.flush();
  7. test.i = 2;
  8. out.writeObject(test);
  9. out.close();
  10. ObjectInputStream oin = new ObjectInputStream(new FileInputStream(
  11. "result.obj"));
  12. Test t1 = (Test) oin.readObject();
  13. Test t2 = (Test) oin.readObject();
  14. System.out.println(t1.i);
  15. System.out.println(t2.i);

清单 5 的目的是希望将 test 对象两次保存到 result.obj 文件中,写入一次以后修改对象属性值再次保存第二次,然后从 result.obj 中再依次读出两个对象,输出这两个对象的 i 属性值。案例代码的目的原本是希望一次性传输对象修改前后的状态。

结果两个输出的都是 1, 原因就是第一次写入对象以后,第二次再试图写的时候,虚拟机根据引用关系知道已经有一个相同对象已经写入文件,因此只保存第二次写的引用,所以读取时,都是第一次保存的对象。读者在使用一个文件多次 writeObject 需要特别注意这个问题。

添加新批注
在作者公开此批注前,只有你和作者可见。
回复批注