如何安全地序列化 lambda？

Question

虽然it is possible to serialize a lambda in Java 8，却是strongly discouraged；甚至serializing inner classes is discouraged。给出的原因是 lambda 可能无法在另一个 JRE 上正确反序列化。但是，这是否意味着有一种安全序列化 lambda 的方法？

例如，假设我定义一个类是这样的：

public class MyClass {
    private String value;
    private Predicate<String> validateValue;

    public MyClass(String value, Predicate<String> validate) {
        this.value = value;
        this.validateValue = validate;
    }

    public void setValue(String value) {
        if (!validateValue(value)) throw new IllegalArgumentException();
        this.value = value;
    }

    public void setValidation(Predicate<String> validate) {
        this.validateValue = validate;
    }
}

如果我这样声明一个类的实例，我就不应该序列化它：

MyClass obj = new MyClass("some value", (s) -> !s.isEmpty());

但是如果我像这样创建一个类的实例呢：

// Could even be a static nested class
public class IsNonEmpty implements Predicate<String>, Serializable {
    @Override
    public boolean test(String s) {
        return !s.isEmpty();
    }
}

MyClass isThisSafeToSerialize = new MyClass("some string", new IsNonEmpty());

现在可以安全地序列化吗？我的直觉说是的，它应该是安全的，因为没有理由将java.util.function 中的接口与任何其他随机接口区别对待。但我还是很警惕。

Answer 1

这取决于您想要哪种安全性。并非不能在不同的 JRE 之间共享序列化的 lambda。它们具有明确定义的持久表示，SerializedLambda。当您研究它的工作原理时，您会发现它依赖于定义类的存在，该定义类将具有重构 lambda 的特殊方法。

使它不可靠的是对编译器特定工件的依赖，例如合成目标方法，它有一些生成的名称，所以像插入另一个 lambda 表达式或使用不同的编译器重新编译类这样的简单更改可能会破坏与现有序列化 lambda 表达式的兼容性。

但是，使用手动编写的类也不能幸免。如果没有明确声明的serialVersionUID，默认算法将通过散列类工件（包括private 和合成工件）来计算一个id，并添加类似的编译器依赖项。因此，如果您想要可靠的持久化表单，最少要做的是声明一个明确的serialVersionUID。

或者你转向最健壮的形式：

public enum IsNonEmpty implements Predicate<String> {
    INSTANCE;

    @Override
    public boolean test(String s) {
        return !s.isEmpty();
    }
}

序列化这个常量不存储实际实现的任何属性，除了它的类名（当然，它是一个enum）和对常量名称的引用。反序列化后，将使用该名称的实际唯一实例。

---

请注意serializable lambda expressions may create security issues，因为它们打开了另一种获取对象的方法，该对象允许调用目标方法。但是，这适用于所有可序列化的类，因为您的问题和此答案中显示的所有变体都允许故意反序列化允许调用封装操作的对象。但是对于显式可序列化的类，作者通常更清楚这一事实。