Класс ObjectInputStream

Предупреждение: Десериализация недоверенных данных изначально опасна и должна быть избегаема. Недоверенные данные должны быть тщательно валидированы в соответствии с разделом «Сериализация и десериализация» руководства Secure Coding Guidelines for Java SE. Фильтрация сериализации описывает лучшие практики для защищенного использования фильтров сериализации.

Ключ к отключению атак десериализации заключается в предотвращении десериализации экземпляров произвольных классов, тем самым предотвращая прямое или косвенное выполнение их методов. ObjectInputFilter описывает, как использовать фильтры, а ObjectInputFilter.Config описывает, как настроить фильтр и фабрику фильтров. Каждый поток имеет необязательный фильтр десериализации для проверки классов и лимитов ресурсов во время десериализации. Фабрика фильтров JVM гарантирует, что фильтр может быть установлен на каждый ObjectInputStream, и каждый объект, считанный из потока, может быть проверен. Конструкторы ObjectInputStream вызывают фабрику фильтров для выбора начального фильтра, который может быть обновлен или заменён с помощью setObjectInputFilter(java.io.ObjectInputFilter).

Если у ObjectInputStream есть фильтр, ObjectInputFilter может проверить, разрешены ли классы, длины массивов, количество ссылок в потоке, глубина и количество байтов, потребленных из входного потока, и в противном случае может прервать десериализацию.

ObjectOutputStream и ObjectInputStream могут предоставить приложению постоянное хранилище графов объектов при использовании соответственно с FileOutputStream и FileInputStream. ObjectInputStream используется для восстановления этих ранее сериализованных объектов. Другие применения включают передачу объектов между хостами с использованием потока сокета или для маршаллирования и размаршаллирования аргументов и параметров в системе удалённого взаимодействия.

ObjectInputStream гарантирует, что типы всех объектов в графе, созданном из потока, соответствуют классам, присутствующим в Java Virtual Machine. Классы загружаются по мере необходимости с помощью стандартных механизмов.

Только объекты, поддерживающие интерфейсы java.io.Serializable или java.io.Externalizable, могут быть считаны из потоков.

Метод readObject используется для чтения объекта из потока. Для получения желаемого типа следует использовать безопасное приведение типов Java. В Java строки и массивы являются объектами и обрабатываются как объекты во время сериализации. При чтении их необходимо привести к ожидаемому типу.

Примитивные типы данных могут быть считаны из потока с использованием соответствующего метода в DataInput.

Стандартный механизм десериализации объектов восстанавливает содержимое каждого поля до значения и типа, которые оно имело при записи. Поля, объявленные как transient или static, игнорируются процессом десериализации. Ссылки на другие объекты приводят к чтению этих объектов из потока по мере необходимости. Графы объектов восстанавливаются правильно с помощью механизма совместного использования ссылок. Новые объекты всегда выделяются при десериализации, что предотвращает перезапись существующих объектов.

Чтение объекта аналогично запуску конструкторов нового объекта. Память выделяется для объекта и инициализируется нулём (NULL). Конструкторы без аргументов вызываются для несериализуемых классов, а затем поля сериализуемых классов восстанавливаются из потока, начиная с сериализуемого класса, наиболее близкого к java.lang.object, и заканчивая наиболее специфичным классом объекта.

Например, для чтения из потока, как записано в примере в ObjectOutputStream:

    try (FileInputStream fis = new FileInputStream("t.tmp");
         ObjectInputStream ois = new ObjectInputStream(fis)) {
        String label = (String) ois.readObject();
        LocalDateTime dateTime = (LocalDateTime) ois.readObject();
        // Use label and dateTime
    } catch (Exception ex) {
        // handle exception
    }

Классы контролируют, как они сериализуются, реализуя либо интерфейсы java.io.Serializable, либо java.io.Externalizable.

Реализация интерфейса Serializable позволяет сериализовать объект, сохраняя всё состояние объекта, и это позволяет классам эволюционировать между временем записи потока и временем его чтения. Он автоматически прослеживает ссылки между объектами, сохраняя и восстанавливая целые графы.

Сериализуемые классы, которые требуют специальной обработки во время сериализации и десериализации, должны реализовывать методы со следующими сигнатурами:

    private void writeObject(java.io.ObjectOutputStream stream)
        throws IOException;
    private void readObject(java.io.ObjectInputStream stream)
        throws IOException, ClassNotFoundException;
    private void readObjectNoData()
        throws ObjectStreamException;

Имя метода, модификаторы, тип возвращаемого значения и количество и типы параметров должны точно совпадать, чтобы метод использовался сериализацией или десериализацией. Методы должны быть объявлены только с выбрасыванием проверочных исключений, согласованных с этими сигнатурами.

Метод readObject отвечает за чтение и восстановление состояния объекта для его конкретного класса с использованием данных, записанных в поток соответствующим методом writeObject. Метод не должен заботиться о состоянии, принадлежащем его суперклассам или подклассам. Состояние восстанавливается путём чтения данных из ObjectInputStream для отдельных полей и присвоения соответствующих полей объекта. Чтение примитивных типов данных поддерживается DataInput.

Любая попытка чтения данных объекта, превышающих границы пользовательских данных, записанных соответствующим методом writeObject, приведёт к выбрасыванию OptionalDataException со значением eof равным true. Необъектные чтения, превышающие конец выделенных данных, отражают конец данных таким же образом, как они указывали бы на конец потока: байтовое чтение вернёт -1 как прочитанный байт или количество прочитанных байтов, а чтение примитивов выбросит EOFExceptions. Если соответствующего метода writeObject нет, то конец стандартных сериализованных данных обозначает конец выделенных данных.

Вызовы чтения примитивов и объектов, выданные внутри метода readExternal, ведут себя одинаково — если поток уже находится в конце данных, записанных соответствующим методом writeExternal, то чтение объектов выбросит OptionalDataExceptions со значением eof, установленным на true, байтовое чтение вернёт -1, а чтение примитивов — EOFExceptions. Обратите внимание, что это поведение не сохраняется для потоков, записанных с использованием старого ObjectStreamConstants.PROTOCOL_VERSION_1 протокола, в котором конец данных, записанных методами writeExternal, не разграничен и, следовательно, не может быть обнаружен.

Метод readObjectNoData отвечает за инициализацию состояния объекта для его конкретного класса в случае, если поток сериализации не указывает данный класс в качестве суперкласса десериализуемого объекта. Это может произойти в случаях, когда принимающая сторона использует другую версию класса десериализованного экземпляра, чем отправляющая сторона, и версия получателя расширяет классы, которые не расширяются версией отправителя. Это также может произойти, если поток сериализации был изменён; следовательно, readObjectNoData полезен для корректной инициализации десериализованных объектов, несмотря на «враждебный» или неполный исходный поток.

Сериализация не читает и не присваивает значения полям любого объекта, не реализующего интерфейс java.io.Serializable. Подклассы объектов, которые не являются сериализуемыми, могут быть сериализуемыми. В этом случае несериализуемый класс должен иметь конструктор без аргументов, чтобы разрешить инициализацию его полей. В этом случае ответственность за сохранение и восстановление состояния несериализуемого класса лежит на подклассе. Часто поля этого класса доступны (public, package или protected) или существуют методы get и set, которые могут быть использованы для восстановления состояния.

Любое исключение, возникающее при десериализации объекта, будет перехвачено ObjectInputStream и прервёт процесс чтения.

Реализация интерфейса Externalizable позволяет объекту полностью контролировать содержимое и формат сериализованной формы объекта. Методы интерфейса Externalizable, writeExternal и readExternal, вызываются для сохранения и восстановления состояния объектов. При реализации классом они могут записывать и считывать собственное состояние, используя все методы ObjectOutput и ObjectInput. Ответственность за обработку любой версии, которая возникает, лежит на объектах.

Постоянные значения перечислений десериализуются иначе, чем обычные сериализуемые или экстернализуемые объекты. Сериализованная форма постоянного значения перечисления состоит только из его имени; значения полей постоянного значения не передаются. Для десериализации постоянного значения перечисления ObjectInputStream считывает имя постоянного значения из потока; десериализованное постоянное значение затем получается вызовом статического метода Enum.valueOf(Class, String) с базовым типом постоянного значения перечисления и полученным именем постоянного значения в качестве аргументов. Как и другие сериализуемые или экстернализуемые объекты, постоянные значения перечислений могут выступать в качестве целей обратных ссылок, появляющихся впоследствии в потоке сериализации. Процесс десериализации постоянных значений перечислений не может быть настраиваемым: все специфичные для класса методы readObject, readObjectNoData и readResolve, определённые типами перечислений, игнорируются во время десериализации. Аналогично, любые объявления полей serialPersistentFields или serialVersionUID также игнорируются — все типы перечислений имеют фиксированное значение serialVersionUID 0L.

Записи сериализуются иначе, чем обычные сериализуемые или экстернализуемые объекты. При десериализации вызывается канонический конструктор записи для построения объекта записи. Некоторые методы, связанные с сериализацией, такие как readObject и writeObject, игнорируются для сериализуемых записей. Смотрите Спецификация сериализации Java объектов, Раздел 1.13, «Сериализация записей» для получения дополнительной информации.