序列化是一种递归过程，这意味着在序列化复杂对象时，首先需要序列化其所有属性。反序列化也会发生同样的情况。 Planet 对象包含类型为的字段 int , double 以及 java.lang.String 它们是原语，不需要特殊的（反）序列化。 LocalDate 或者 LocalDateTime 不是原语，它们被序列化然后反序列化 SafeObjectInputStream .

序列化黑客

正如书中所说 java.io.Serializable 对象可以修改它们的序列化行为，甚至通过定义方法将序列化委托给另一个类 writeReplace .
javadoc引用：
在将对象写入流时，需要指定备用对象的可序列化类应使用精确签名实现此特殊方法： ANY-ACCESS-MODIFIER Object writeReplace() throws ObjectStreamException; 如果存在此writereplace方法，并且可以从正在序列化的对象的类中定义的方法访问它，则序列化将调用此writereplace方法。因此，该方法可以具有私有、受保护和包私有访问。对这个方法的子类访问遵循java可访问性规则。
两者 LocalDate 以及 LocalDateTime 利用这种可能性并定义 writeReplace 方法。
举个例子， java.time.LocalDate 的实现：

private Object writeReplace() {
    return new Ser(Ser.LOCAL_DATE_TYPE, this);
}
``` `java.time.Ser` 是一个包私有的final类，用作 `java.time.*` 物体。
因此，当你连载 `java.time.LocalDate` 或者 `java.time.LocalDateTime` ，实际上 `java.time.Ser` 正在序列化。

#### 自定义反序列化程序

之前我们发现 `java.time.LocalDate` 已序列化为 `java.time.Ser` . 现在，让我们尝试用 `SafeObjectInputStream` .
在反序列化之前， `resolveClass` 方法被调用：

@Override
protected Class<?> resolveClass(ObjectStreamClass input)
throws IOException, ClassNotFoundException
{
if (!input.getName().equals(Planet.class.getName())) {
throw new InvalidClassException("Unsupported class", input.getName());
}
return super.resolveClass(input);
}

它检查类名是否等于 `Planet.class.getName()` ，但是 `java.time.Ser` 不是，这就是为什么你得到一个例外。

#### 解决方案

要解决此问题，您需要添加 `java.time.Ser` 添加到受信任类的列表。我建议修改你的 `SafeObjectInputStream` 下一步：

public class SafeObjectInputStream extends ObjectInputStream {

private final List supportedClasses = List.of(Planet.class.getName(), "java.time.Ser");

public SafeObjectInputStream(InputStream inputStream) throws IOException {
super(inputStream);
}

@Override
protected Class<?> resolveClass(ObjectStreamClass input)
throws IOException, ClassNotFoundException
{
if (!supportedClasses.contains(input.getName())) {
throw new InvalidClassException("Unsupported class ", input.getName());
}
return super.resolveClass(input);
}
}

注： `List.of` 是在Java9中引入的。如果java版本小于9，则可以用 `Arrays.asList` .