【发布时间】：2012-10-27 01:00:08
【问题描述】：
我需要在不反序列化的情况下可靠地识别 Java 中序列化对象的类。
到目前为止，我发现原始数据流将包含类名。然而，有人可以创建一个具有任意名称的自定义类来欺骗识别。
现在我正在考虑实现一个系统，其中对象的存储数据也会根据模板进行检查，但这似乎很麻烦。
是否有已经这样做的包和/或是否有更简单的方法来可靠地识别序列化 Java 对象的类？
【问题讨论】：
-
反序列化有什么问题？
-
啊，我忘了提这个。在我正在研究的安全上下文中，如果对象不合法，则永远不应在内存中创建它。因此，我尝试在不反序列化的情况下验证序列化对象的类。
标签： java object serialization deserialization identification