9个答案 按时间排序 按投票排序

0 0

其实蛮好理解的吧。

先从与技术无关的角度来看，一个object在被序列之前必定处于某个非初始状态，而构造函数使一块内存(object)处于初始状态，所以如果反序列化的时候调用[显式]构造函数必定会使一个已有状态的对象处于初始状态，这明显是不合逻辑的。

其次，上面提到了[显式]构造函数，看过oop 对象模型的都知道，构造函数其实由两部份组成:

第一部份是编译器帮你拼凑的，比如对virtual table的绑定，对象常量的初始值等等，这些值是跟对象的状态无关的，所以一般来说序列化的时候这些状态不会持久化到外部文件里，而造成空间浪费，但相应的反序列化的时候因为这些东西没有持久化，所以还是需要调用某些东西来还原这些常状态。

第二部份就是真正的我们写代码时可见的构造函数内容了。

而我认为，第一部份的构造内容，还是需要调用的，而这部份内容就叫隐式内容了。 (当然也和具体实现有关，我没看源码)

2010年12月23日 10:09

AlwenS
31
0 0 0

• 添加评论

0 0

序列化里的信息包含 className.
反序列化 根据className进行强制转型

2010年12月23日 10:09

seele
34
0 0 0

• 添加评论

0 0

自己构造序列化后的数据，然后再反序列化回来，哈，这个思路高！

2010年12月23日 10:09

smzd
48
0 0 0

• 添加评论

0 0

Class.forName 算不算得到一个新对象的方法？

2010年12月23日 10:09

joknm
22
0 0 0

• 添加评论

0 0

serializable对象的反序列化是不会调用constructor的，如果想控制序列化方式，可以在class中提供readObject()和writeObject()方法。

2010年12月23日 10:09

logicgate
33
0 0 0

• 添加评论

0 0

RednaxelaFX 写道

嗯顺带推荐Effective Java, Second Edition的第74条

引用

A second cost of implementing Serializable is that it increases the likelihood
of bugs and security holes. Normally, objects are created using constructors;
serialization is an extralinguistic mechanism for creating objects. Whether
you accept the default behavior or override it, deserialization is a “hidden constructor”
with all of the same issues as other constructors. Because there is no
explicit constructor associated with deserialization, it is easy to forget that you
must ensure that it guarantees all of the invariants established by the constructors
and that it does not allow an attacker to gain access to the internals of the object
under construction. Relying on the default deserialization mechanism can easily
leave objects open to invariant corruption and illegal access (Item 76).

英文琢磨了半天，好不容易给看明白了。

2010年12月23日 10:09

agapple
82
0 0 1

• 添加评论

0 0

aaa,不会吧

2010年12月23日 10:09

yin_bp
30
0 0 4

• 添加评论

0 0

嗯顺带推荐Effective Java, Second Edition的第74条

引用

A second cost of implementing Serializable is that it increases the likelihood
of bugs and security holes. Normally, objects are created using constructors;
serialization is an extralinguistic mechanism for creating objects. Whether
you accept the default behavior or override it, deserialization is a “hidden constructor”
with all of the same issues as other constructors. Because there is no
explicit constructor associated with deserialization, it is easy to forget that you
must ensure that it guarantees all of the invariants established by the constructors
and that it does not allow an attacker to gain access to the internals of the object
under construction. Relying on the default deserialization mechanism can easily
leave objects open to invariant corruption and illegal access (Item 76).

2010年12月23日 10:09

RednaxelaFX
1894
0 0 0

• 添加评论

0 0

我愚见，应该是序列化的原因。你前面22代码写入的内容跟你实例化一个对象后的内容看看是不是一样的
我比较了下ttt.txt中内容跟你内容是一样的

package go.test.com;
import java.io.ByteArrayInputStream;
import java.io.ByteArrayOutputStream;
import java.io.FileInputStream;
import java.io.FileOutputStream;
import java.io.ObjectInputStream;
import java.io.ObjectOutputStream;
import java.io.Serializable;
public class TestClass implements Serializable{
	private static final long serialVersionUID = 0L;
	public TestClass() throws Exception {
		System.out.println("哎呀妈呀,异常啦!!!!");
	}
	public static void main(String[] args) throws Exception {
		byte[] head = { -84, -19, 0, 5, 115, 114, 0 };
		byte[] ass = { 0, 0,0, 0, 0, 0, 0, 0, 2, 0, 0, 120, 112};
		String name = TestClass.class.getName();
		ByteArrayOutputStream baos = new ByteArrayOutputStream();
		baos.write(head);
		baos.write(name.length());
		baos.write(name.getBytes());
		baos.write(ass);
		baos.flush();
		baos.close();
		ObjectInputStream ois = new ObjectInputStream(new ByteArrayInputStream(baos.toByteArray()));
		TestClass o = (TestClass) ois.readObject();
		ois.close();
		System.out.println("创建对象: " + o);
		FileOutputStream fs=new FileOutputStream("E:\\ttt.txt");
		ObjectOutputStream oo=new ObjectOutputStream(fs);
		oo.writeObject(new TestClass());
		oo.close();
		FileInputStream fis = new FileInputStream("E:\\ttt.txt");  
        ObjectInputStream oooo = new ObjectInputStream(fis);  
        TestClass t= (TestClass) oooo.readObject();
        oooo.close();
		System.out.println("创建对象: " + t);
		System.out.println(name);
	}
}

2010年12月23日 10:09

rocketball
102
0 0 2

• 添加评论