Что такое интерфейс Serializable в Java?

Ага, слушай, вот эта ваша Serializable — это вообще пиздец какой-то трюк, ну просто магия, но с подвохом, как всегда. Представь себе: есть у тебя объект, живой, дышащий, со своими полями и ссылками. А тебе его надо, например, в файлик запихнуть или по сети шлёпнуть. Как, блядь? В байты его превратить! Вот для этого и нужен этот интерфейс-пустышка. Просто написал implements Serializable — и всё, ты как бы даёшь системе добро: «Да, ёпта, рви меня на биты, я не против».

Вот смотри, как это выглядит в коде, тут всё просто:

import java.io.*;

// Главное — не забыть эту волшебную строчку. Без неё — NotSerializableException, и будет тебе больно.
class Person implements Serializable {
    // А это, сука, самый важный номер! serialVersionUID.
    // Если его не написать, JVM сама придумает на основе структуры класса.
    // И стоит тебе поле добавить — всё, версии не совпадут, и при чтении старых данных тебя ждёт сюрприз в виде InvalidClassException.
    // Поэтому пиши его явно, и спи спокойно.
    private static final long serialVersionUID = 1L;

    private String name;          // Это поле улетит в байты
    private transient int age;    // А это — нет! transient — наш волшебный пластырь. «Не сериализуй это, проехали».
    private Address address;      // И тут внимание! Если Address не Serializable — будет пиздец и NotSerializableException.

    // Ну тут конструкторы, геттеры-сеттеры, обычная лапша...
}

// Смотри, и этот класс тоже должен быть сериализуемым, иначе вся цепочка рвётся!
class Address implements Serializable {
    private String city;
}

public class SerializationExample {
    public static void main(String[] args) {
        Person person = new Person("Алиса", 30, new Address("Москва"));

        // СЕРИАЛИЗАЦИЯ — превращаем объект в поток байтов и пихаем в файл
        try (ObjectOutputStream oos = new ObjectOutputStream(new FileOutputStream("person.dat"))) {
            oos.writeObject(person); // Всё, Алиса упакована.
        } catch (IOException e) { e.printStackTrace(); }

        // ДЕСЕРИАЛИЗАЦИЯ — достаём байты и собираем объект обратно, как Лего
        try (ObjectInputStream ois = new ObjectInputStream(new FileInputStream("person.dat"))) {
            Person deserializedPerson = (Person) ois.readObject(); // Кастуем, конечно. Без этого никуда.
            System.out.println(deserializedPerson.getName()); // Выведет "Алиса"
            System.out.println(deserializedPerson.getAge());  // А вот тут будет 0! Потому что age был transient, его проигнорировали.
        } catch (IOException | ClassNotFoundException e) { e.printStackTrace(); }
    }
}

Теперь, блядь, главные подводные камни, о которые все расшибаются:

1. serialVersionUID — твой счастливый билет. Объявляй его явно, private static final long. Иначе JVM сама его сгенерит на лету, и любое чих-пых в классе (добавил поле, убрал метод) изменит этот UID. Попробуй потом прочитать старый файл — получишь InvalidClassException прямо в ебало. Так что пиши и не забывай менять при кардинальных изменениях.

2. transient — наш спаситель. Есть поля, которые сериализовать бессмысленно или опасно. Кэши, потоки (Thread), соединения с базой — вся эта муть. Помечаешь transient — и их проигнорируют. При десериализации они получат значения по умолчанию: null, 0, false. Не ожидай чудес.

3. Вложенные объекты — цепная реакция. Если твой класс содержит поле другого класса (как address), то этот класс тоже должен быть Serializable. Иначе в момент сериализации вылетит NotSerializableException — и всё, пиздец, процесс остановлен. Проверяй всю цепочку зависимостей, это важно.

4. Производительность и безопасность — две большие разницы. Нативная сериализация Java — она, конечно, удобная, но не сказать чтобы быстрая. Данные получаются довольно объёмные. Для высоконагруженных систем смотри в сторону JSON, Protobuf или Avro — там и скорость, и размер лучше. И, блядь, никогда не десериализуй данные из непроверенных источников! Это один из любимых способов взлома — подсунуть зловредную последовательность байтов, которая при десериализации выполнит левый код. Серьёзно, это не шутки.

5. Хочешь полный контроль? Можно перехватить процесс! Объяви в классе методы private void writeObject(ObjectOutputStream out) и private void readObject(ObjectInputStream in). Там уже можешь делать что угодно: шифровать поля, сжимать данные или логировать. Но это уже для продвинутых, когда стандартного поведения не хватает.

Короче, Serializable — это мощный инструмент, но, как и всё в Java, требует аккуратности. Не забывай про UID, помечай лишнее как transient и следи за графами объектов. И да, не доверяй слепо данным с улицы — а то мало ли что там в байтах записано.