직렬화 (Serialization)

직렬화(Serialization)는 메모리에 있는 객체를 바이트 스트림으로 변환해 파일 저장이나 네트워크 전송이 가능하게 만드는 기술이고, 역직렬화(Deserialization)는 그 바이트 스트림을 다시 객체로 복원하는 과정이다. 자바는 Serializable 인터페이스와 ObjectOutputStream, ObjectInputStream으로 언어 차원의 직렬화를 제공하지만, 버전 관리의 어려움과 심각한 보안 취약점 때문에 현대 실무에서는 JSON 같은 명시적 포맷이 우선 선택된다. 그래도 세션 클러스터링, 캐시, RMI 등에서 여전히 쓰이므로 동작 원리와 위험성을 정확히 알아야 한다.

기본 사용법과 동작 원리

자바 직렬화의 대상이 되려면 클래스가 마커 인터페이스(marker interface)인 Serializable을 구현해야 한다. 메서드가 하나도 없는 이 인터페이스는 직렬화를 허용한다는 표시일 뿐이고, 실제 변환은 JVM이 리플렉션(reflection)으로 객체의 필드를 순회하며 수행한다. 참조로 연결된 객체들도 함께 직렬화되므로, 객체 그래프 전체의 모든 구성 요소가 Serializable이어야 하며 아니면 NotSerializableException이 발생한다.

public class Member implements Serializable {
    private static final long serialVersionUID = 1L;

    private String name;
    private transient String password; // 직렬화에서 제외
    private int age;
}

// 직렬화
try (ObjectOutputStream out =
         new ObjectOutputStream(new FileOutputStream("member.ser"))) {
    out.writeObject(new Member("kim", "secret", 20));
}

// 역직렬화, 생성자를 거치지 않고 객체가 복원된다
try (ObjectInputStream in =
         new ObjectInputStream(new FileInputStream("member.ser"))) {
    Member m = (Member) in.readObject();
}

중요한 특징은 역직렬화가 생성자를 호출하지 않는다는 점이다. JVM이 메모리를 할당하고 스트림의 값으로 필드를 직접 채우므로, 생성자에 넣어 둔 검증 로직이 전부 우회된다. 이것이 불변식(invariant) 훼손과 보안 문제의 근원이다.

serialVersionUID와 transient

serialVersionUID는 클래스 버전을 식별하는 값으로, 역직렬화 시 스트림에 기록된 값과 현재 클래스의 값이 다르면 InvalidClassException이 발생한다. 명시하지 않으면 컴파일러가 클래스 구조를 해싱해 자동 생성하는데, 필드나 메서드가 조금만 바뀌어도 값이 달라져 예전에 저장한 데이터를 읽지 못하게 된다. 그래서 직렬화 가능 클래스에는 serialVersionUID를 직접 선언하고, 호환이 깨지는 변경을 할 때만 의도적으로 값을 올리는 것이 원칙이다.

transient 키워드가 붙은 필드는 직렬화에서 제외되며 역직렬화 후 타입 기본값(참조형은 null)으로 채워진다. 비밀번호 같은 민감 정보, 소켓이나 스레드처럼 직렬화가 무의미한 자원, 다시 계산 가능한 캐시 필드에 사용한다. static 필드는 인스턴스 상태가 아니므로 애초에 직렬화되지 않는다. 더 세밀한 제어가 필요하면 private 메서드 writeObject와 readObject를 정의해 기본 직렬화를 보강하거나, readObject 안에서 검증과 방어적 복사를 수행할 수 있다.