Что такое сериализация?

Объект в памяти — это набор полей и ссылок. Чтобы отправить его по сети или сохранить, его нужно превратить в последовательность байтов, а на другой стороне — восстановить.

Встроенный механизм Java: класс помечается интерфейсом-меткой Serializable, запись — ObjectOutputStream, чтение — ObjectInputStream. Поля с transient не сериализуются. serialVersionUID — номер версии класса: если при чтении он не совпадает, будет InvalidClassException.

Почему его применение сегодня считают нежелательным:

• безопасность — десериализация недоверенных данных может выполнить произвольный код через цепочки классов (gadget chains); это класс реальных уязвимостей;
• объект создаётся в обход конструктора — проверки инвариантов не выполняются;
• формат жёстко связан со структурой классов и Java — переименовал поле, и старые данные не читаются; другой язык их не прочитает;
• формат громоздкий.

Поэтому для обмена данными используют независимые форматы: текстовый JSON (Jackson, Gson), бинарные со схемой — Protobuf, Avro (Kafka, gRPC). Они работают между языками и управляемо поддерживают эволюцию схемы.