如何通过 transient 关键字有效避免密码等敏感数据在磁盘和网络中持久化？

本文共计689个文字，预计阅读时间需要3分钟。

`transient` 关键字在 Java 中用于跳过 Java 对象序列化过程，使得标记为 `transient` 的字段不会被序列化。这意味着，使用 `transient` 关键字可以防止密码等敏感信息写入磁盘文件或网络字节流。然而，这种跳过仅限于使用 `ObjectOutputStream` 和 `ObjectInputStream` 进行对象序列化和反序列化时。

它怎么起作用

只要字段被 transient 修饰，JVM 在调用 writeObject() 时就会自动忽略该字段——既不保存值，也不在反序列化时恢复。例如：

• 字符串类型（如 private transient String password;）反序列化后为 null
• 基本类型（如 private transient int attempts;）反序列化后为 0 或 false
• 它不加密、不删数据，只是“不拷贝”，内存里依然存在，日志、调试器、堆转储照常可见

必须配合 Serializable 接口使用

transient 单独声明无效，类必须实现 Serializable，且通常建议显式定义 serialVersionUID：

• 没写 serialVersionUID 时，JVM 会基于非-static、非-transient 字段自动生成；加了 transient 后，UID 值一般不变
• 但若后续增删了非-transient 字段，务必重新生成并更新 serialVersionUID，否则跨版本反序列化可能失败

它防不住 JSON、HTTP 响应这些常见场景

Spring Boot 的 @ResponseBody、Feign 调用、前端 AJAX 请求，底层多用 Jackson 序列化 JSON——而 transient 默认对 Jackson 完全无效：

• Jackson 需额外开启： mapper.configure(MapperFeature.USE_TRANSIENT_ANNOTATION, true)
• 更推荐直接用注解：@JsonIgnore（Jackson）、@JSONField(serialize = false)（Fastjson）、@Expose(serialize = false)（Gson）
• 别指望一个 transient 同时管住二进制流和 JSON，这是两个独立机制

真正安全的做法不是只靠 transient

把敏感字段标为 transient 是基础动作，但生产环境还需叠加其他控制：

• 用 DTO 对象返回响应，比如 UserDTO 里根本不声明 password 字段
• 数据库查出的实体（含密码）绝不直接返回给前端，必须转换
• 密码字段在入库前应哈希加盐，内存中也不宜长期保留明文
• 若需自定义序列化逻辑（如只存密码摘要），可结合 transient + private void writeObject() 手动控制