是否可以在没有外部类的情况下序列化匿名类？

Question

我在网站上做了一个小研究，并在这个网站上回顾了相关主题，但答案是矛盾的：有人说这是不可能的，有人说这是可能的，但很危险。

目标是传递匿名类的对象作为RMI方法的参数。由于RMI要求，这个类必须是可序列化的。这里没有问题，很容易使类序列化。

但是我们知道内部类的实例包含对外部类的引用（匿名类是内部类）。因此，当我们序列化内部类的实例时，外部类的实例也被序列化为一个字段。问题来了：外部类是不可序列化的，更重要的是——我不想序列化它。我想做的只是发送匿名类的实例。

简单示例-这是一个RMI服务，其方法接受Runnable：

public interface RPCService {    
    Object call(SerializableRunnable runnable);
}

下面是我想如何调用这个方法

void call() {
     myRpcService.call(new SerializableRunnable() {             
         @Override
         public Object run {
             System.out.println("It worked!");
         }
     }        
}

如您所见，我想做的是向另一方发送一个“操作”——系统A描述应该在系统B上运行的代码。这就像在Java发送脚本。

如果可能的话，我可以很容易地看到一些危险的后果：例如，如果我们从Runnable访问一个字段或捕获外部类的最终变量，我们会遇到麻烦，因为调用方实例不存在。另一方面，如果我在Runnable中使用安全代码（编译器可以检查），那么我看不到禁止此操作的理由。

因此，如果有人知道如何在匿名类中正确重写writeObject（）和readObject（）方法，或者如何引用外部类transient或解释为什么在java中不可能，这将非常有帮助。

UPD还需要考虑另一件重要的事情：执行方法的环境（系统B）中不存在外部类，这就是为什么应该完全排除有关它的信息，以避免NoClassDefFoundError。

Answer 1

上面所述的示例不能在Java中工作，因为匿名内部类是在类Caller中声明的，并且您明确声明类Caller在RPC服务器上不可用（如果我理解正确的话）。请注意，对于JavaRPC，只有数据通过网络发送，类必须已经在客户端和服务器上可用。尊重您的示例是没有意义的，因为看起来您想要发送代码而不是数据。通常情况下，您将在服务器和客户端都可以使用的JAR中拥有可序列化的类，并且每个可序列化的类都应该具有唯一的序列化VersionUID。

Answer 2

如果您足够疯狂，可以使用反射来查找包含对外部类的引用的字段，并将其设置为null。

Answer 3

您可以尝试使Caller.call（）成为静态方法。

但是，匿名类仍然需要在反序列化序列化实例的上下文中可用。这是不可避免的。

（很难想象匿名类可用但封闭类不可用的情况。）

所以，如果有人能展示，我如何在我的匿名类中正确重写writeObject和readObject方法。。。

如果您使用调用者。call（）static，然后您可以像处理命名类一样执行此操作。（我相信你自己也能找到这样的例子。）

事实上，（考虑匿名类可用性问题）它是有效的。这里，static main方法代替了静态类。call（）方法。程序编译并运行，表明在静态方法中声明的匿名类可以序列化和反序列化。

import java.io.*;

public class Bar {

    private interface Foo extends Runnable, Serializable {}

    public static void main (String[] args) 
            throws InterruptedException, IOException, ClassNotFoundException {

        Runnable foo = new Foo() {
            @Override
            public void run() {
                System.out.println("Lala");
            }
        };

        Thread t = new Thread(foo);
        t.start();
        t.join();

        ByteArrayOutputStream baos = new ByteArrayOutputStream();
        ObjectOutputStream oos = new ObjectOutputStream(baos);
        oos.writeObject(foo);
        oos.close();
        Foo foofoo = (Foo) new ObjectInputStream(
            new ByteArrayInputStream(baos.toByteArray())).readObject();

        t = new Thread(foofoo);
        t.start();
        t.join();
    }
}

另一个需要记住的重要事项是：执行方法的调用方类不在环境中，因此我希望在序列化过程中排除有关它的所有信息，以避免NoClassDefFoundError。

这是无法避免的。远程JVM中的反序列化抱怨的原因是类描述符包含对外部类的引用。反序列化端需要解析该引用，即使您成功地关闭了该引用，并且即使您从未在反序列化对象中显式或隐式使用过合成变量。

问题是远程JVM的类加载器在为内部类加载类文件时需要知道外部类的类型。这是核查所需要的。这是反思的需要。垃圾收集器需要它。

没有解决办法。

（我不确定这是否也适用于静态内部类……但我怀疑它确实适用。）

尝试在没有外部类的情况下序列化匿名Runnable实例不仅涉及序列化问题，还涉及在另一个环境中执行任意代码的可能性。这将是很好的看到一个JLS参考，描述这个问题。

对此没有JLS参考。JLS中未指定序列化和类加载器。（类初始化是……但这是另一个问题。）

可以通过RMI在远程系统上运行任意代码。然而，您需要实现RMI动态类加载来实现这一点。以下是参考资料：

• http://www.cis.upenn.edu/~bcpierce/courses/629/jdkdocs/guide/rmi/spec/rmi arch。博士。html#280

请注意，将远程类的动态类加载添加到RMI会带来重大的安全问题。您必须考虑类加载器泄漏等问题。