## 📋 目录

- 一、工具类功能
- 二、所需环境
- 三、方法与调用示例（按需调用）
- 四、工具类源码（可直接复制）

## 一、工具类功能

把对象转成字节或 Base64 文本再还原，或者复制出一份引用完全独立的副本，嵌套集合与数组一起断开、改副本不影响原对象，读外部来路的字节必须给类白名单。

## 二、所需环境

JDK 17或以上

## 三、方法与调用示例（按需调用）

🔢 **方法序号**：1

🎯 **方法用途**：
- 序列化再读出，得到引用完全独立的副本，嵌套对象、集合与数组一起复制
- 不想手写拷贝构造、又要改掉副本不影响原对象时用

🧩 **方法定义**：`public static <T extends Serializable> T deepCopy(T source)`

🗣️ **入参解释**：`public static <T extends Serializable> T deepCopy(待拷贝对象)`

📤 **返回值解释**：`T`，与原对象同类型的新副本

💡 **边界口径**：
- `transient` 字段不会被带走，副本里是 null
- 拷贝后 `==` 不再成立，但 `equals` 语义保持；单例与枚举要用各自的克隆策略
- 原对象的 `writeObject` 副作用会被执行，持有连接或文件的对象不适合走这条路
- 对象图里有任何一个类没实现 `Serializable` 就整体失败，抛 `IllegalStateException`
- 副本走的是免白名单的内部读取，外部来路的数据绝不能用这个入口

🧪 **方法示例**：
- `deepCopy(origin).tags.size()` 拿到 `2 个`，原对象仍是 `1 个`，集合互不影响
- 副本的地址城市改成上海后，原对象读到的是 `杭州`
- 刚拷出来的副本 `sessionToken` 是 `null`，transient 字段没带过来
- `deepCopy(null)` 抛 `IllegalArgumentException`

---

🔢 **方法序号**：2

🎯 **方法用途**：
- 把对象转成 Java 原生序列化的字节数组
- 进程内缓存、同版本服务之间的临时传递用这一版

🧩 **方法定义**：`public static byte[] serializeToBytes(Object object)`

🗣️ **入参解释**：`public static byte[] serializeToBytes(可序列化对象)`

📤 **返回值解释**：`byte[]`，Java 序列化协议的字节流

💡 **边界口径**：
- 字节流前两个字节固定是 magic `0xaced`，一眼能认出是 Java 序列化数据
- 对象没实现 `Serializable` 时抛 `IllegalStateException`，消息里带上类名
- 参数为 null 抛 `IllegalArgumentException`
- 原生序列化格式对类版本变更极敏感，改字段或改 `serialVersionUID` 就解不出来，也不具备跨语言能力

🧪 **方法示例**：
- `serializeToBytes(origin).length` 拿到 `367`
- 头两个字节拿到 `magic 0xaced`
- `serializeToBytes(new Object())` 抛 `对象序列化为字节数组失败，class=java.lang.Object, java.lang.Object`

---

🔢 **方法序号**：3

🎯 **方法用途**：
- 把对象转成一串 Base64，能放进字符串字段、日志行或文本消息
- 只能传文本的通道（表单字段、MQ 文本消息）用它承载对象

🧩 **方法定义**：`public static String toBase64(Object object)`

🗣️ **入参解释**：`public static String toBase64(可序列化对象)`

📤 **返回值解释**：`String`，标准 Base64（含 padding）

💡 **边界口径**：
- 前缀 `rO0AB` 就是 Java 序列化流的特征头，看到它应知道这是原生序列化数据
- 长度约为字节数的 4 分之 3，比字节更占空间
- 编码规则沿用 `Base64.getEncoder()`，是标准字母表，不是 URL 安全形态
- 还原必须走带白名单的 `fromBase64`，别拿它当可信任字符串处理

🧪 **方法示例**：
- `toBase64(origin).length()` 拿到 `492`
- 前 20 位拿到 `rO0ABXNyAC5jb20uZXhh`，一看就是序列化流
- 对一段文本 `toBase64("只是一段文本")` 也能出串，拿它按 `Order.class` 还原会抛 `反序列化结果类型不匹配，期望 com.example.order.api.SerializeUtilsDemo$Order，实际 java.lang.String`

---

🔢 **方法序号**：4

🎯 **方法用途**：
- 读外部来路的字节，白名单之外的类在读任何对象之前就被拒绝
- 网络、上传、缓存、MQ 来的序列化数据必须走这个带白名单的入口

🧩 **方法定义**：`public static Object deserialize(byte[] bytes, String allowedClassPattern)`

🗣️ **入参解释**：`public static Object deserialize(字节数组, 类白名单表达式)`

📤 **返回值解释**：`Object`，还原出的对象，由调用方自己判类型

💡 **边界口径**：
- 用的是 JDK 的 `ObjectInputFilter`，在读取任何对象之前就拒绝非法类
- 表达式末尾会自动补一条 `!*` 兜底拒绝，没匹配到的类不会被放过
- 同时限制深度 64 层、引用数 100 万、字节量 256 MiB、数组长度 1000 万
- 对象图里的嵌套类也要显式放行，只放外层类会在内层被拒
- 「被过滤器拒绝」与「字节流损坏」是两回事，前者翻译成 `IllegalArgumentException`，不会混成一句流损坏

🧪 **方法示例**：
- 白名单里没有 `java.awt.Point` 时 `deserialize(foreign, pattern)` 抛 `反序列化被安全过滤器拒绝（类不在白名单内，或超出深度/引用数/数组长度上限）: InvalidClassException: filter status: REJECTED`
- 同一份字节把 `java.awt.**` 写进白名单后拿到 `java.awt.Point[x=1,y=2]`
- 漏写兜底拒绝规则时会被自动补齐，非法类依然抛 `IllegalArgumentException`
- 对象图深度超过 64 层时抛 `IllegalArgumentException`
- `deserialize(new byte[0], MY_PACKAGE)` 抛 `bytes 不能为null或空数组`
- `deserialize(bytes, "  ")` 抛 `allowedClassPattern 不能为null或空白`

---

🔢 **方法序号**：5

🎯 **方法用途**：
- 还原自己刚序列化出来的字节，不做类白名单校验
- 数据源百分百可信、且就是本进程 `serializeToBytes` 产出的场合用它

🧩 **方法定义**：`public static Object deserializeTrusted(byte[] bytes)`

🗣️ **入参解释**：`public static Object deserializeTrusted(本类刚产出的字节)`

📤 **返回值解释**：`Object`，还原出的对象

💡 **边界口径**：
- 名字里的 Trusted 就是提醒：换数据源必须改成带白名单的 `deserialize`
- 仍然带深度、引用数、字节量与数组长度限制，防爆与深链
- 字节流损坏、类不存在或版本不一致抛 `IllegalStateException` 并保留原因
- 参数为 null 或空数组抛 `IllegalArgumentException`

🧪 **方法示例**：
- `deserializeTrusted(bytes)` 拿到 `单号 ORD20261005001`
- 还原结果与原对象的 `equals` 判断是 `true`
- 与原对象是否同一个引用，答案是 `false`
- `deserializeTrusted(new byte[0])` 抛 `bytes 不能为null或空数组`

---

🔢 **方法序号**：6

🎯 **方法用途**：
- 从 Base64 还原并校验类型，直接拿到目标类的对象，不用自己强转
- 前端或外部系统回传的 Base64 对象串，按约定类型解回来时用

🧩 **方法定义**：`public static <T> T fromBase64(String base64, Class<T> type, String... extraAllowed)`

🗣️ **入参解释**：`public static <T> T fromBase64(Base64串, 目标类, 额外白名单)`

📤 **返回值解释**：`T`，类型校验通过后的对象

💡 **边界口径**：
- 白名单除目标类外，还放行 `java.lang.*`、`java.util.**`、`java.time.**`、`java.math.**` 这些基础包
- 业务对象所在的包要靠 `extraAllowed` 追加，漏了就在过滤器处被拒
- 解出来的对象类型与 `type` 不符时抛 `IllegalArgumentException`，消息带上期望与实际类型
- Base64 串非法或空白抛 `IllegalArgumentException`
- 要更紧的口径就自己写表达式走 `deserialize`

🧪 **方法示例**：
- `fromBase64(base64, Order.class, MY_PACKAGE)` 拿到 `ORD20261005001，金额 4999，地址 杭州`
- 对象图里的嵌套类没放行时抛 `反序列化被安全过滤器拒绝（类不在白名单内，或超出深度/引用数/数组长度上限）: InvalidClassException: filter status: REJECTED`
- 把一段文本的 Base64 按 `Order.class` 解，抛 `反序列化结果类型不匹配，期望 com.example.order.api.SerializeUtilsDemo$Order，实际 java.lang.String`

---

🔢 **方法序号**：7

🎯 **方法用途**：
- 不指定目标类，完全按调用方给的白名单表达式从 Base64 还原
- 类型要运行时才知道、或者要一次放开多个包时用这一版

🧩 **方法定义**：`public static Object fromBase64(String base64, String allowedClassPattern)`

🗣️ **入参解释**：`public static Object fromBase64(Base64串, 类白名单表达式)`

📤 **返回值解释**：`Object`，还原出的对象，类型由调用方判断

💡 **边界口径**：
- 表达式口径与 `deserialize(byte[], String)` 完全一致，同样自动补 `!*`
- 不做类型校验，需要类型安全就用三参版
- 表达式为 null 或空白抛 `IllegalArgumentException`

🧪 **方法示例**：
- `fromBase64(base64, MY_PACKAGE + ";" + JDK_ONLY)` 拿到还原对象的类名 `Order`
- 表达式里没有目标类所在的包时抛 `IllegalArgumentException`，消息是过滤器拒绝那句

## 四、工具类源码（可直接复制）

📦 见评论区或本专栏简介



把对象转成字节或 Base64 文本再还原，或者复制出一份引用完全独立的副本，嵌套集合与数组一起断开、改副本不影响原对象，读外部来路的字节必须给类白名单。

深拷贝怎么实现？这个Java序列化工具类7个方法带类白名单

编程语言

后端

安全

Java对象序列化工具类支持JDK17+，提供深拷贝、转字节/Base64、安全反序列化等核心方法。深拷贝隔离嵌套集合与transient字段，字节流含magic头特征。外部数据读取强制类白名单过滤，内置深度、引用数、字节量等多重安全限制，兼容基础类型与自定义类还原，杜绝反序列化漏洞。

Java

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

深拷贝怎么实现？这个Java序列化工具类7个方法带类白名单-腾讯云开发者社区-腾讯云

深拷贝怎么实现？这个Java序列化工具类7个方法带类白名单

深拷贝怎么实现？这个Java序列化工具类7个方法带类白名单

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐