Что такое десериализация

Десериализация — это процесс восстановления объекта из его последовательного представления (например, из байтового потока, JSON, XML). В Java чаще всего используется для преобразования данных из файлов или сетевых потоков обратно в объекты.

Пример с ObjectInputStream:

try (FileInputStream fis = new FileInputStream("object.ser");
     ObjectInputStream ois = new ObjectInputStream(fis)) {
    MyClass obj = (MyClass) ois.readObject();
} catch (IOException | ClassNotFoundException e) {
    e.printStackTrace();
}

Важные моменты:

1. Класс должен реализовывать Serializable
2. При десериализации вызывается конструктор без параметров родительского несериализуемого класса
3. Потенциальная уязвимость безопасности — нужно валидировать входные данные