可靠地识别序列化的Java对象的类

Question

我需要可靠地识别Java中序列化对象的类而不反序列化它。

到目前为止，我发现原始数据流将包含类名称。然而，有人可以用任意名称创建一个自定义类来欺骗识别。

现在我正在考虑实现一个系统，其中对象的存储数据也针对模板进行检查，但这看起来很麻烦。

是否有一个包已经这样做和/或是否有更简单的方法来可靠地识别序列化Java对象的类？

Answer 1

你看过JavaAssist（http://www.csg.ci.i.u-tokyo.ac.jp/~chiba/javassist/）吗？它似乎能够加载类文件元数据，并使其可用，而无需创建类。