Java使用序列化的私有方法巧妙解决部分属性持久化问题

部分属性持久化问题看似很简单,只要把不需要的持久化的属性加上瞬态关键字(transient关键字)即可,没错,这也是一种解决方案,但在有的时候行不通,例如在一个计税系统和人力系统对接的时候,计税系统需要从人力系统获得人员的姓名和基本工资,作为纳税的一句,而人力系统的工资分成 分成两个部分:基本工资和绩效工资,基本工资没有什么秘密,一般都是直接跟年限挂钩,但是绩效工资一般来说是保密的,不能泄露到外系统,话不多说,上代码

import lombok.AllArgsConstructor;
import lombok.Getter;
import lombok.NoArgsConstructor;
import lombok.Setter;

import java.io.Serializable;

@Getter
@Setter
@NoArgsConstructor
@AllArgsConstructor
public class Salary implements Serializable {
    private static final long serialVersionUID = 75632L;
    // 基本工资
    private Integer basePay;
    // 绩效工资
    private Integer bonus;
}
import lombok.AllArgsConstructor;
import lombok.Getter;
import lombok.NoArgsConstructor;
import lombok.Setter;

import java.io.Serializable;

@Getter
@Setter
@NoArgsConstructor
@AllArgsConstructor
public class Person implements Serializable {
    private static final long serialVersionUID =45829L;
    // 员工姓名
    private String name;
    // 员工薪资
    private Salary salary;
    
}

 

如上所示,他们都序列化了,都基本了持久化的条件,计税系统请求人力系统,然后人力系统后将人员和工资信息传递到计税系统中,做一个测试,代码如下:

import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RestController;

@RestController
@RequestMapping("/demo")
public class UserController {

    @GetMapping("/get-user")
    public Person getUser() {
        // 基本工资 1000 绩效3000
        Salary salary = new Salary(1000,3000);
        Person person = new Person("小哇",salary);
        return person;
    }
}

 

在通过网络传输的计税系统中,进行反序列化,代码如下:

import com.cp.security.user.common.JsonUtil;

public class TestController {

    public static void main(String[] args) {
        String personJson = HttpRequest.sendGet("http://localhost:8080/demo/get-user","");
        Person person = JsonUtil.str2Obj(personJson);
        StringBuffer sb = new StringBuffer();
        sb.append("name"+person.getName());
        sb.append("基本工资"+person.getSalary().getBasePay());
        sb.append("绩效工资"+person.getSalary().getBonus());
        System.out.println(sb);
    }


//运行结果如下:
// name 小哇 基本工资1000 绩效工资3000

很明显这不符合要求,存在严重的信息泄露问题,那么怎么解决呢?提供以下思路:

1.在bonus(绩效工资)前面加上transient关键字进行修饰

  这的确是一个办法,但不是一个好的办法,在分布式部署的时候性能很差,不推荐

2.新增一个业务对象(*)

  新增一个对象,该对象只有姓名和基本工资两个属性,符合开闭原则,对原来系统也没有侵入性,只是增加了工作量,相比较来说,这个是目前最受欢迎的方式了

3.在请求端进行过滤

  在计税系统得到Person对象之后,对立面的绩效薪资进行隐藏,可行但是很危险,业务交由其他系统处理,对外依旧是暴露的,差评

4.引出本文重点,采用Serializable接口中的两个私有方法writeObject和readObject,我们将Person稍作修改,上代码

import lombok.AllArgsConstructor;
import lombok.Getter;
import lombok.NoArgsConstructor;
import lombok.Setter;

import java.io.IOException;
import java.io.ObjectInputStream;
import java.io.ObjectOutputStream;
import java.io.Serializable;

@Getter
@Setter
@NoArgsConstructor
@AllArgsConstructor
public class Person implements Serializable {
    private static final long serialVersionUID =45829L;
    // 员工姓名
    private String name;
    // 员工薪资
    private Salary salary;

    private void writeObject(ObjectOutputStream out)throws IOException {
        out.defaultWriteObject();
        out.writeInt(salary.getBasePay());
    }
    private void readObject(ObjectInputStream in)throws IOException,ClassNotFoundException{
        in.defaultReadObject();
        salary = new Salary(in.readInt(),0);
    }
}
// 此时运行的结果
// name 小哇 基本工资1000 绩效工资0

总结:

我们在Person类中增加了writeObject和readObject两个方法,并且访问权限都是私有级别的,为什么能够改变程序的运行结果呢?其实这里使用了序列化的独有机制,序列化毁掉,java中调用ObjectOutputStream类把一个对象转换成流数据时,会通过反射检查被序列化的类是否有writeObject方法,并且检查其是否符合私有、无返回的特性,若符合,则会委托该方法将对象进行序列化,若没有,则由ObjectOutputStream按照默认的规则继续序列化,同样,从流数据恢复成实力对象时,也会检查是否有一个私有的readObject方法,如果有,则会通过该方法读取属性值,此处有几个关键点需要说明:

a> out.defaultWriteObject();

  告知JVM按照默认的规则写入对象,惯例写法是写在第一句话里

b>in.defaultReadObject();

  告知JVM按照默认的规则读入对象,惯例写法是写在第一句话里

c>依然存在分布式部署的问题,只是提供一个思路而已,正常情况下依然推荐使用第二种方式,重新声明一个对象返回

 

猜你喜欢

转载自www.cnblogs.com/slymonkey/p/10549361.html
0条评论
添加一条新回复
  
今日推荐