Java中的任何服务器、框架或J2EE本身是否仍在使用序列化？

Question

“Serializable”类中有一个称为字段的声纳规则应该是瞬态的或可序列化的。当您向类中添加一个不可序列化的字段时，会出现此问题。该规则规定：

例如，在负载情况下，大多数J2EE应用程序框架都会将对象刷新到磁盘，而据称具有非瞬态、非序列化数据成员的可序列化对象可能会导致程序崩溃，并为攻击者打开大门。

这对我来说似乎过时了。在有效的Java第三版中，当开发新软件时，序列化是不相关的。此外，从Java中删除序列化是Oracle的“长期目标”。爪哇首席建筑师马克·莱因霍尔德表示

这里已经提出了一个问题，Spring框架是否可以刷新对象：

• Spring是否将对象刷新到负载下的磁盘？

因此，我提出了一个问题：是否有任何现代应用服务器、框架或J2EE实现本身（尤其是与CDI、EJB、JPA交互的Java组件）在重载情况下将对象刷新到磁盘？

还是这种说法已经过时了？

Answer 1

TL；博士

如果您没有实现一个可分发的web应用程序，您没有启用会话持久性，并且您只使用内存缓存，那么您可能不需要在任何地方进行序列化。

解释

对于会话复制，Java序列化仍然是最新Servlet规范的必要条件：https://jakarta.ee/specifications/servlet/5.0/jakarta-servlet-spec-5.0.html#distributed-environments

一个常见的用法是，如果您在一个负载均衡器后面有多个服务器，并且您在一个服务器上登录，您会得到一个JSESSIONID cookie。如果负载均衡器将您发送到另一个服务器进行下一个请求，您的登录属性和其他会话范围的属性将在新服务器上序列化和复制，因此您的JSESSIONID在那里仍然有效。

另一个需要对会话范围属性进行序列化的用例是应用程序服务器决定将会话交换到磁盘。例如，对于Tomcat 8，可以将其配置为在内存中保留的会话太多时激活，或者在服务器重新启动时激活，并且您希望保持会话处于活动状态。看见https://tomcat.apache.org/tomcat-9.0-doc/config/manager.html

默认情况下，每个与Servlet-5.0兼容的应用程序服务器都必须支持Http会话中的Serializable对象，用于这些类型的用户名。

对于某些服务器，这可以通过使用Jackson JSON序列化或类似的方式进行调整或覆盖。参见例如，如何在spring中使用jackson而不是JdkSerializationRedisSerializer

另一个常见的用例是缓存。这用于尽可能快地访问对象，最好是在内存中，但可能会暂时卸载到磁盘或外部缓存服务器。有一个标准的API（JSR-107）明确选择不需要可序列化对象，但大多数实现仍然默认使用java序列化作为卸载部分。

您可以再次调整这些机制以支持其他序列化机制，例如，对于ehcache：https://www.ehcache.org/documentation/3.8/serializers-copiers.html