[Java] 이펙티브 자바 직렬화

이번 글에서는 자바 직렬화에 대해 써보고자 한다. 현대 백엔드 시스템에서는 아래에서 설명할 다양한 이유들로 인해 자바의 바이트 스트림 직렬화를 사용하는 경우가 드문 것이 사실이다. 그 대신 JSON, XML. Avro와 같은 직렬화 포맷을 많이 사용하기 때문에 이 글을 쓸까에 대한 고민을 했지만 자바의 많은 클래스들이 직렬화를 구현하고 있기도 하고, 이펙티브 자바에서 읽은 내용을 기억해두기 위해 글을 쓰기로 결정했다.

 

---

 

☑️ 직렬화

직렬화란 JVM의 힙 또는 스택 영역 메모리에 있는 객체 또는 데이터를 다른 컴퓨터의 JVM에서도 사용할 수 있도록 바이트 스트림으로 변환하는 것을 말한다. 다른 컴퓨터의 JVM에서 사용할 때는 역직렬화를 통해 자바 객체로 다시 변환시켜 사용한다.

 

직렬화는 Serializable이라는 자바의 마커 인터페이스를 Implements 하여 사용할 수 있다. 이 때 직렬화와 역직렬화에는 각각 ObjectOutputStream와 ObjectInputStream이 사용되며 직렬화될 때는 오직 객체의 필드값 만을 저장한다.

 

직렬화 조작

객체의 직렬화를 조작하는 방법에는 2가지 방법이 있다.

먼저 transient 키워드를 사용하여 특정 필드값을 직렬화 대상에서 제외 시키는 방법이다. 이 때 transient 키워드가 붙은 필드 값은 기본값으로 직렬화되기 때문에 Primitive 타입은 각 타입의 디폴트 값, Reference 타입은 null로 직렬화 된다.

 

두번째 방법은, readObject와 writeObject를 재정의하는 것이다. 이를 통해 직렬화, 역직렬화 과정에서 검증 로직 또는 조건부 로직을 추가할 수 있다.

 

class Player implements Serializable {
    String name;
    String password;
    int age;

    public Customer(String name, String password, int age) {
        this.name = name;
        this.password = password;
        this.age = age;
    }

    private void writeObject(ObjectOutputStream out) throws IOException{
        out.writeObject(name);
        out.writeInt(age);
    }

    private void readObject(ObjectInputStream in) throws IOException, ClassNotFoundException{
        this.name = (String) in.readObject();
        this.age = in.readInt();
    }
}

 

객체 상속 관계에서 직렬화

부모 클래스가 Serializable을 Implements 하고 있다면 자식 클래스는 Implements 하지 않아도 직렬화가 가능하다. 하지만 자식 클래스에서만 Serializable을 구현했다면 부모 클래스의 필드는 무시되고 자식 클래스의 필드만 직렬화된다.

 

 

직렬화 버전 관리

직렬화를 구현한 클래스는 serialVersionUID라는 고유 식별번호를 부여 받으며, 이를 통해 직렬화, 역직렬화 가능 여부를 판단한다. 이는 수동으로 설정할 수 있으며, 설정하지 않을 경우, 런타임에 메타 데이터를 이용한 해시함수를 통해 자동으로 생성한다. 

만약 버전을 직접 설정해주지 않는 경우에는 클래스의 변경사항이 생길 때마다 해당 클래스를 사용하고 있는 모든 사용자에게 재배포해야하는 경우가 생기기 때문에 클래스 버전을 수동으로 관리하는 것을 권장한다.

하지만 필드 값의 추가, 삭제, 변수 이름 변경, 제어자 변경이 아닌 필드 값의 타입이 변경된다면 클래스 버전이 같더라도 incompatible type 에러가 발생한다는 주의 사항이 있다.

class Player implements Serializable {
    // private static final long으로 선언해야 한다.
    private static final long serialVersionUID = 123L;
    
    private String name;
    private int age;
}

 

 

직렬화가 위험한 이유

직렬화의 근본적인 문제는 공격 범위가 너무 넓고 지속적으로 더 넓어져 방어하기 어렵다는 점이다.직렬화를 한 후, 역직렬화를 할 때 문제가 된다.

• 객체를 읽는 readObject 메서드는 클래스 패스에 존재하는 직렬화된 거의 모든 타입의 객체를 만들어낼 수 있다.
• 바이트 스트림을 역직렬화하는 과정에서 해당 타입 안의 모든 코드를 수행할 수 있다.
• 객체를 불러올 수 있으므로 모든 코드를 수행할 수 있게된다. ➡️ 전체가 공격 범위에 들어가게 된다.
• 다른 포맷에 비해서 몇 배 이상의 크기를 가진다.
• 역직렬화 폭탄을 맞을 수도 있다.
• 직렬화를 하면 릴리즈 후 수정하기가 어렵다.
• 직렬환된 바이트 스트림도 하나의 API가 되어 지속적으로 지원해야한다 ➡️ Private 필드들이 노출되어 캡슐화가 깨진다.
• 직렬화 클래스가 수정되면 신버전을 직렬화 한 후 구버전으로 역직렬화 할 수 있는지, 반대의 경우도 가능한지 테스트 해야하기 때문에 테스트양이 늘어난다.

 

 

직렬화 위험 회피 방법

• 직렬화 위험을 회피하는 가장 좋은 방법은 아무것도 역직렬화하지 않는 것이다.
• 레거시 시스템 때문에 직렬화를 배제할 수 없을때에는 신뢰할 수 없는 데이터는 절대 역직렬화하지 말자.
• 역직렬화 방어 기법
• readObject 메서드는 사실상 또 다른 생성자이기 때문에 방어적으로 작성해야한다.

/**방어적 복사와 유효성 검사를 수행하는 readObject 메서드**/

private void readObject(ObjectInputStream s) throws IOException, ClassNotFoundException {
    s.defaultReadObject();
    // 가변 요소들을 방어적으로 복사한다.
    start = new Date(start.getTime());
    end = new Date(end.getTime());

    // 불변식을 만족하는지 검사한다.
    if (start.compareto(end) > 0) {
        throw new InvalidObjectException(start + " after " + end);
    }
}

• 인스턴스 수를 통제해야한다면 readResolve가 아닌 Enum을 사용하자.
  
  • readResolve를 사용하면 readObject를 통해 생성된 새로운 객체를 인수로 readResolve가 호출되고, readResolve가 반환한 객체가 새로운 객체 대신에 반환되기 때문에 이미 생성해놓은 싱글톤 인스턴스를 반환할 수 있다.
  • 만약 열거 타입으로 구현한다면 선언한 상수 외의 다른 객체는 존재하지 않음을 자바가 보장해주기 때문에 이를 권장한다.