Класс ObjectInputStream

Предупреждение: Десериализация недоверенных данных представляет собой потенциальную опасность и должна быть избегаема. Недоверенные данные должны быть тщательно валидированы в соответствии с разделом "Сериализация и десериализация" руководства Рекомендаций по защищенному программированию для Java SE. Фильтрация сериализации описывает лучшие практики для защищенного использования фильтров сериализации.

Ключ к предотвращению атак на десериализацию заключается в предотвращении десериализации экземпляров произвольных классов, тем самым предотвращая непосредственное или косвенное выполнение их методов. ObjectInputFilter описывает использование фильтров, а ObjectInputFilter.Config описывает настройку фильтра и фабрики фильтров. Каждый поток имеет необязательный фильтр десериализации для проверки классов и лимитов ресурсов во время десериализации. Фабрика фильтров JVM гарантирует, что фильтр может быть установлен на каждом ObjectInputStream, и каждый объект, считанный из потока, может быть проверен. Конструкторы ObjectInputStream вызывают фабрику фильтров для выбора начального фильтра, который может быть обновлен или заменен с помощью setObjectInputFilter(java.io.ObjectInputFilter).

Если у ObjectInputStream есть фильтр, ObjectInputFilter может проверять, разрешены ли классы, длины массивов, количество ссылок в потоке, глубина и количество байтов, извлеченных из входного потока, и в случае их запрета может завершить десериализацию.

ObjectOutputStream и ObjectInputStream могут предоставить приложению средства для сохранения графов объектов при использовании соответственно с FileOutputStream и FileInputStream. ObjectInputStream используется для восстановления этих ранее сериализованных объектов. Другие применения включают передачу объектов между хостами через сокетный поток или для маршалинга и унмаршалинга аргументов и параметров в системе удалённой связи.

ObjectInputStream гарантирует, что типы всех объектов в графе, созданном из потока, соответствуют классам, присутствующим в виртуальной машине Java. Классы загружаются по мере необходимости с использованием стандартных механизмов.

Из потоков могут считываться только объекты, поддерживающие интерфейсы java.io.Serializable или java.io.Externalizable.

Метод readObject используется для чтения объекта из потока. Для получения нужного типа следует использовать безопасное приведение типов Java. В Java строки и массивы являются объектами и обрабатываются как объекты во время сериализации. При чтении их необходимо привести к ожидаемому типу.

Примитивные типы данных могут быть считанны из потока с помощью соответствующего метода DataInput.

Механизм десериализации объектов по умолчанию восстанавливает содержимое каждого поля до значения и типа, имевшихся во время записи. Поля, объявленные как transient или static, игнорируются процессом десериализации. Ссылки на другие объекты вызывают чтение этих объектов из потока по мере необходимости. Графы объектов восстанавливаются корректно с использованием механизма совместного использования ссылок. При десериализации всегда выделяется новый объект, что предотвращает перезапись существующих объектов.

Чтение объекта аналогично выполнению конструкторов нового объекта. Память выделяется для объекта и инициализируется нулём (NULL). Для несериализуемых классов вызываются конструкторы без аргументов, а затем поля сериализуемых классов восстанавливаются из потока, начиная с сериализуемого класса, ближайшего к java.lang.object, и заканчивая наиболее специфическим классом объекта.

Например, чтобы прочитать из потока, как записано в примере в ObjectOutputStream:

      FileInputStream fis = new FileInputStream("t.tmp");
      ObjectInputStream ois = new ObjectInputStream(fis);

      int i = ois.readInt();
      String today = (String) ois.readObject();
      Date date = (Date) ois.readObject();

      ois.close();
 

Классы управляют своей сериализацией, реализуя интерфейсы java.io.Serializable или java.io.Externalizable.

Реализация интерфейса Serializable позволяет сериализовать объект, сохраняя всё его состояние, и позволяет классам эволюционировать между моментом записи в поток и моментом его чтения. Автоматически просматриваются ссылки между объектами, сохраняя и восстанавливая целые графы.

Сериализуемые классы, требующие специальной обработки во время сериализации и десериализации, должны реализовывать следующие методы:

 private void writeObject(java.io.ObjectOutputStream stream)
     throws IOException;
 private void readObject(java.io.ObjectInputStream stream)
     throws IOException, ClassNotFoundException;
 private void readObjectNoData()
     throws ObjectStreamException;
 

Метод readObject отвечает за чтение и восстановление состояния объекта для его конкретного класса, используя данные, записанные в поток соответствующим методом writeObject. Методу не нужно беспокоиться о состоянии, принадлежащем его суперклассам или подклассам. Восстановление состояния происходит путём чтения данных из ObjectInputStream для отдельных полей и присваивания их соответствующим полям объекта. Чтение примитивных типов данных поддерживается DataInput.

Любая попытка чтения данных объекта, превышающая границы пользовательских данных, записанных соответствующим методом writeObject, приведёт к выбрасыванию OptionalDataException со значением eof, равным true. Необъектные чтения, превышающие конец выделенных данных, отражают конец данных аналогично тому, как они указывают конец потока: считывание байтов вернёт -1 как считанный байт или количество считанных байтов, а чтение примитивных типов выбросит EOFExceptions. Если нет соответствующего метода writeObject, конец стандартно сериализованных данных отмечает конец выделенных данных.

Вызовы чтения примитивных и объектных данных, выполненные в методе readExternal, ведут себя аналогично – если поток уже находится в конце данных, записанных соответствующим методом writeExternal, чтение объектов выбросит OptionalDataExceptions с eof, установленным в true, чтение байтов вернёт -1, а чтение примитивных типов выбросит EOFExceptions. Обратите внимание, что такое поведение не справедливо для потоков, записанных по старому ObjectStreamConstants.PROTOCOL_VERSION_1 протоколу, в котором конец данных, записанных методами writeExternal, не обозначен и, следовательно, не может быть обнаружен.

Метод readObjectNoData отвечает за инициализацию состояния объекта для его конкретного класса в случае, если поток сериализации не указывает данный класс как суперкласс десериализуемого объекта. Это может произойти в случаях, когда принимающая сторона использует другую версию класса десериализуемого экземпляра, чем отправляющая сторона, и версия получателя расширяет классы, которые не расширяются версией отправителя. Это также может произойти, если поток сериализации был изменён; следовательно, readObjectNoData полезен для корректной инициализации десериализованных объектов, несмотря на "враждебный" или неполный исходный поток.

Сериализация не читает и не присваивает значения полям объектов, не реализующих интерфейс java.io.Serializable. Подклассы объектов, которые не сериализуемы, могут быть сериализуемы. В этом случае несериализуемый класс должен иметь конструктор без аргументов, чтобы разрешить инициализацию его полей. В этом случае подкласс отвечает за сохранение и восстановление состояния несериализуемого класса. Часто поля этого класса доступны (public, package или protected), или существуют методы get и set, которые могут использоваться для восстановления состояния.

Любое исключение, произошедшее во время десериализации объекта, перехватывается ObjectInputStream и прерывает процесс чтения.

Реализация интерфейса Externalizable позволяет объекту полностью контролировать содержимое и формат сериализованной формы объекта. Методы интерфейса Externalizable, writeExternal и readExternal, вызываются для сохранения и восстановления состояния объектов. При реализации классом, они могут записывать и читать собственное состояние с помощью всех методов ObjectOutput и ObjectInput. Объекты несут ответственность за обработку любых изменений версии.

Константы перечислений десериализуются по-другому, чем обычные сериализуемые или внешне сериализуемые объекты. Сериализованная форма константы перечисления состоит только из её имени; значения полей константы не передаются. Для десериализации константы перечисления ObjectInputStream считывает имя константы из потока; десериализованная константа затем получается путём вызова статического метода Enum.valueOf(Class, String) с базовым типом константы перечисления и полученным именем константы в качестве аргументов. Как и другие сериализуемые или внешне сериализуемые объекты, константы перечисления могут служить целями обратных ссылок, появляющихся в потоке сериализации позднее. Процесс десериализации констант перечислений не может быть настроен: любые классово-специфичные методы readObject, readObjectNoData и readResolve, определённые типами перечислений, игнорируются при десериализации. Аналогично, любые объявления полей serialPersistentFields или serialVersionUID также игнорируются – все типы перечислений имеют фиксированную serialVersionUID 0L.

Записи сериализуются по-другому, чем обычные сериализуемые или внешне сериализуемые объекты. Во время десериализации вызывается канонический конструктор записи для создания объекта записи. Некоторые методы, связанные с сериализацией, такие как readObject и writeObject, игнорируются для сериализуемых записей. См. Спецификация Java Object Serialization, Раздел 1.13, "Сериализация записей" для дополнительной информации.