项目3描述了单例模式，并给出了下面的单例类示例。该类限制对其构造函数的访问，以确保只创建一个实例:
如第3项所述，如果将单词implementation Serializable添加到该类的声明中，该类将不再是单例的。类使用默认序列化表单还是自定义序列化表单并不重要 类是否提供显式的readObject方法并不重要( item88)。任何readObject方法，不管是显式的还是默认的，都会返回一个新创建的实例，这个实例与类初始化时创建的实例不同。
readResolve特性允许您用另一个实例替换readObject [Serialization, 3.7]创建的实例。如果正在反序列化的对象的类使用正确的声明定义了readResolve方法，则在新创建的对象反序列化之后，将在该对象上调用该方法。该方法返回的对象引用将代替新创建的对象返回。在该特性的大多数使用中，不保留对新创建对象的引用，因此它立即就有资格进行垃圾收集。
如果Elvis类是用来实现序列化的，下面的readResolve方法就足以保证单例属性:
此方法忽略反序列化对象，返回初始化类时创建的区分的Elvis实例。因此，Elvis实例的序列化形式不需要包含任何实际数据;所有实例字段都应该声明为transient。事实上,你依赖于readResolve控制实例，所有具有对象引用类型的实例字段都必须声明为transient。否则，有决心的攻击者有可能在运行反序列化对象的readResolve方法之前保护对该对象的引用，使用的技术有点类似于第88项中的MutablePeriod攻击
攻击有点复杂，但其基本思想很简单。如果单例包含一个nontransient对象引用字段，则在运行单例的readResolve方法之前，将对该字段的内容进行反序列化。这允许一个精心设计的流在对象引用字段的内容被反序列化时“窃取”对原来反序列化的单例对象的引用。
下面是它的工作原理。首先，编写一个“stealer”类，该类具有readResolve方法和一个实例字段，该实例字段引用序列化的单例，其中stealer“隐藏”在其中。在序列化流中，用一个stealer实例替换单例的非瞬态字段。现在您有了一个循环性:单例包含了窃取器，而窃取器引用了单例。
：因为单例包含窃取器，所以当反序列化单例时，窃取器的readResolve方法首先运行。因此，当偷取器的readResolve方法运行时，它的实例字段仍然引用部分反序列化(且尚未解析)的单例。
：窃取者的readResolve方法将引用从其实例字段复制到静态字段，以便在readResolve方法运行后访问引用。然后，该方法为其隐藏的字段返回正确类型的值。如果不这样做，当序列化系统试图将窃取器引用存储到该字段时，VM将抛出ClassCastException。
要使其具体化，请考虑以下破损的单例:
这里是一个“小偷”类，按照上面的描述构造:
最后，这是一个丑陋的程序，它反序列化了一个手工制作的流，以生成有缺陷的单例的两个不同实例。这个程序省略了反序列化方法，因为它与第354页的方法相同:
运行此程序将生成以下输出，最终证明可以创建两个不同的Elvis实例(具有不同的音乐品味):
您可以通过声明favoriteSongs字段transient来修复这个问题，但是您最好通过将Elvis设置为单元素枚举类型来修复它
(第3项).正如ElvisStealer攻击所证明的，使用readResolve方法来防止攻击者访问“临时”反序列化实例是脆弱的，需要非常小心。
如果您将可序列化的实例控制类编写为enum, Java保证除了声明的常量之外不能有任何实例，除非攻击者滥用了特权方法，如AccessibleObject.setAccessible。
任何能够做到这一点的攻击者都已经拥有足够的特权来执行任意的本地代码，所有的赌注都是不可能的。
使用readResolve(例如实例控件)并不过时。如果必须编写一个可序列化的实例控制类，而该类的实例在编译时是未知的，则不能将该类表示为enum类型。
重新解析的可访问性非常重要。如果您将readResolve方法放在最后一个类上，那么它应该是私有的。如果将readResolve方法放在非final类上，必须仔细考虑其可访问性。如果它是私有的，它将不应用于任何子类。如果它是包私有的，它将只应用于同一包中的子类。如果它是受保护的或公共的，它将应用于不覆盖它的所有子类。如果readResolve方法是受保护的或公共的，而子类没有覆盖它，反序列化子类实例将生成超类实例，这可能会导致ClassCastException
总之，使用枚举类型在可能的情况下强制实例控制不变量。如果这是不可能的，并且您需要一个既可序列化又实例控制的类，那么您必须提供一个readResolve方法，并确保该类的所有实例字段都是原始的或transient的。
本文写于2019.7.24，历时1天
