[Java] 자바 직렬화 (Serialization)

 

🤔 1. 자바 직렬화란?

 

자바 직렬화(Java Serialization)은, 객체의 상태를 영속화 하는 매커니즘입니다.

영속화는, 영구적으로 속성을 저장하는 것을 의미하므로, 쉽게 풀어서 설명하면 객체를 다른 환경에 저장했다가 나중에 재구성할 수 있는 것이 곧 자바 직렬화의 의미입니다.

 

단순히 저장이라고 표현했지만, 일반적으로 우리가 생각하는 데이터베이스 저장, 파일의 형태로 저장도 해당이 되지만, 메모리 및 캐시에 저장하는 것 역시 직렬화라고 표현할 수 있습니다. 

 

자바 직렬화를 통해 객체를 온전히 다른 곳에 저장하고, 다시 온전한 객체로 재구성할 수 있습니다. 이를 통해 쉽게 분산 객체 생성이 가능해졌습니다. 자바 직렬화에서 저장하는 방식은, 객체를 바이트 스트림의 형태로 만들어 이를 저장합니다.

 

 

🤔 2. 자바 직렬화는 언제 쓰나요?

 

객체의 상태를 영속(어딘가에 영구적으로 저장)해야 할 때 사용합니다.

객체로 재구성할 수 있다는 점에서, 다른 VM에게 객체의 정보를 전달해야 할 때 사용하기도 합니다. (Remote Method Invocation 혹은 Socket을 사용해서.)

 

사용하는 방법은 단순합니다.

package java.io;

public interface Serializable {}

public class MyObject implemets Serializable{
	public int value;
    
    public MyObject(final int value){
   		this.value = value;
    }
}

 

위의 코드에서 볼 수 있듯이 Serializable 인터페이스는 공개 API가 없는 단순한 마커 인터페이스입니다.

하지만 이 Serializable 인터페이스를 implements 해주는 것만으로도 해당 객체는 직렬화 가능한 객체로 변신하게 됩니다!

만약 Serializable 인터페이스를 implements하지 않는 객체를 직렬화 하려고 한다면, NotSerializableException이 발발하게 되므로 주의가 필요합니다!

 

byte[] serailizedObject;

try (ByteArrayOutputStream byteArrayOutputStream = new ByteArrayOutputStream();
	ObjectOutputStream objectOutputStream = new ObjectOutputStream(byteArrayOutputStream)) {
    	MyObject myObject = new MyObject(1);
        objectOutputStream.writeObject(myObject);
        serializedObject = byteArrayOutputStream.toByteArray();
    }

직렬화를 하는 것은 java.io.ObjectOutputStream을 사용합니다. try-with-resource 문을 사용해 byteArrayOutputStream과 ObjectOutputStream을 생성한 뒤, writeObject 메소드와 toByteArray 메소드를 사용해 직렬화를 할 수 있습니다.

 

반대로 역직렬화는 java.io.ObjectInputStream를 사용합니다. 

역직렬화는, 바이트 스트림으로 저장된 데이터를 객체로 재구성하는 것을 의미합니다.

byte[] serializedObject = getSerializedObject();

try (ByteArrayInputStream byteArrayInputStream = new ByteArrayInputStream(serializedObject);
	ObjectInputStream objectInputStream = new ObjectInputStream(byteArrayInputStream)){
    	MyObject myObject = (MyObject) objectInputStream.readObject();
    }

그리고 ObjectInputStream의 readObject 메소드와 타입 캐스팅을 통해 역직렬화를 진행해 결국, 객체를 온전히 재구성할 수 있게 됩니다.

 

https://www.youtube.com/watch?v=3iypR-1Glm0

전체적인 플로우는 위와 같습니다.

 

 

🤔 3. SerialVersionUID의 용도는 무엇일까?

 

Serialization을 implements하는 객체들은, 클래스의 버전 관리를 위해 serialVersionUID 변수를 사용하게 됩니다.

이 serialVersionUID 변수는 개발자가 직접 정의하지 않으면, 컴파일러가 알아서 부여하게 됩니다.

이 serialVersionUID는 직렬화 할 때 같이 저장되게 되고, 역직렬화를 할 때에는 그 값을 체크하는 용도로 사용하게 됩니다.

 

예를 들어 serialVersionUID 값을 1L로 설정한 후 직렬화를 했습니다. 그 이후, 해당 클래스의 serialVersionUID 값을 2L로 변경한 뒤, 역직렬화를 시도하면 invalidClassException이 발생하게 됩니다. 즉 버전 관리를 가능케 하는 것이죠.

 

SerialVersionUID는 개발자가 직접 설정하는 것을 권장합니다. 그 이유는 컴파일러의 임의 부여에 있습니다. JVM의 내부 알고리즘에 의해 해당 값이 결정되게 되는데, 문제는 어떤 JVM을 사용하는지에 따라서 이 값이 달라지게 됩니다.

 

따라서 Client가 Windows, 서버가 Linux인 경우 서로 다른 JVM을 사용하게 되어 이 값이 달라져 역직렬화를 진행할 때 Exception이 발생할 여지가 있습니다.

 

 

 

🤔 4. 왜 자바 직렬화는 잘 안 쓰게 되는 걸까?

 

이 직렬화라는 개념은 많이 들어보긴 했으나 실무 경험이 부족한 내게는 잘 쓰이지 않는다는 느낌을 받았습니다.

직렬화를 기피하는 이유는 보안 문제, 유지 보수성, 테스트 등에서 복잡함이 있어서 그렇다고 합니다.

예를 들어 확인해봅시다.

 

1) 보안 문제

직렬화된 바이트 스트림을 역직렬화 할 때에는 readObject 메소드가 호출되게 됩니다. 근데 이것 자체가 하나의 생성자와 다를게 없습니다. 즉, 보이지 않는 생성자의 문제가 생기게 됩니다.

 

이게 왜 문제가 발생하냐면, 바이트 스트림의 배열 내부의 값을 직접 접근해 수정이 가능합니다.

이 상태로 objectInputStream을 생성하고, readObject를 한다면 그대로 생성이 됩니다. 기존의 생성자에서는 validation로직을 넣어서 값의 유효성을 판단했지만, readObject를 통해 만들어진 객체는 보이지 않는 다른 생성자를 사용하게 되어버립니다.

 

이를 방어하는 방법으로는, 커스텀 직렬화를 사용하는 방법이 있습니다. readObject를 새롭게 정의하는 방식으로, 기존의 objectInputStream.defaultReadObject() 메서드를 통해 기존의 역직렬화 과정을 시키고, 추가적인 validation 코드를 여기에 삽입해주면 이러한 문제를 해결할 수 있습니다.

private void readObject(ObjectInputStream objectInputStream) throws IOException, ClassNotFoundException {
	objectInputStream.defaultReadObject(); // 기본적인 역직렬화 과정
    // 생략, 추가적인 validation 코드.
}

 

2) 싱글톤 문제

 

싱글톤 패턴으로 어떠한 클래스를 만들고, 이를 직렬화 가능하도록 Serializable 인터페이스를 구현했다고 합시다.

싱글톤 객체를 다시 역직렬화 하면, 싱글톤의 특성을 잃어버리게 됩니다. readObject가 호출되면 다른 객체가 생성되게 됩니다. 싱글톤은 단 하나의 객체만 존재해야 한다는 것을 항상 유지하는데 이를 깨버리게 된다는 것이죠.

 

이러한 싱글톤 문제를 해결하려면 readResolve()를 정의하면 됩니다. readResolve() 메소드는 readObject()가 호출된 이후에 호출되게 됩니다. 역직렬화를 거친 객체를 사용하지 않고, readResolve()에서 반환하는 객체를 사용하게 되기 때문에, 싱글톤 문제를 해결할 수 있죠.

 

다만 이 경우, 클래스의 필드 중에, 인스턴스 변수가 존재하는 경우에는 직렬화/역직렬화가 되지 않토록 transient 키워드를 붙여야 합니다. 그래야 참조필드의 영역값을 훔쳐오는 행위를 막을 수 있다고 합니다. 이 부분은 추후에 공부를 더 해봐야겠습니다.

 

모든 인스턴스 변수에 사용해야 하고, 이를 간과한다면 보안 문제가 발생할 수 있습니다.

싱글톤같이 객체 갯수 통제 해야 하는 상황에는 readResolve를 사용하는 것이 굉장히 불편하게 됩니다.

 

 

자바 직렬화는 생각할 것이 많은 기술이었습니다. 아무런 생각 없이 사용하다가는 여러 문제가 발생할 여지가 있었습니다.

그래서 10분 테코톡에서도 웬만하면 사용하지 않는 것을 권장했습니다. 새로운 시스템에 바이트 스트림으로 변환하는 좋은 매커니즘이 많기 때문입니다. 

 

예를 들어, 크로스 플랫폼에 적합한 데이터 표현으로 JSON, CSV, 프로토콜 버퍼 등을 사용하는 것을 권장한다고 하네요.

이펙티브 자바에서도 직렬화 파트에서 많은 내용을 다루고 있다니, 추가 학습을 해보도록 하겠습니다.

 

 

 

 

🏝 출처

[링크] https://blog.naver.com/kkson50/220564273220 (SerialVersionUID)
[링크] https://www.youtube.com/watch?v=3iypR-1Glm0 (10분 테코톡 : 자바 직렬화)