Apache Dubbo 3.3.0版本中Hessian序列化与JDK高版本的兼容性问题解析

问题背景

在Apache Dubbo 3.3.0-beta3版本中，开发者在升级过程中遇到了一个与Java序列化相关的异常。具体表现为当使用JDK 21运行时，系统抛出"module java.base does not opens java.util to unnamed module"的错误。这个问题在beta2版本中并不存在，但在升级到beta3后突然出现。

问题根源分析

经过深入调查，发现这个问题的根本原因在于Dubbo 3.3.0-beta3版本中默认序列化方式的变更。在beta2版本中，默认使用的是fastjson2序列化，而在beta3版本中，开发团队将默认序列化方式改回了Hessian。

Hessian序列化在处理Java高版本（特别是JDK 17及以上）时遇到了模块系统的限制。Java模块系统从JDK 9开始引入，对反射访问进行了更严格的控制。当Hessian尝试通过反射访问java.util包中的ImmutableCollections$ListN类的私有字段时，由于模块系统的保护机制，导致了访问被拒绝。

技术细节

问题的具体技术细节体现在以下几个方面：

1. 模块系统限制：JDK 9引入的模块系统要求显式声明哪些包可以被反射访问。java.base模块默认不开放java.util包给未命名模块。

2. Hessian序列化机制：Hessian在序列化时会尝试通过反射访问对象的所有字段，包括私有字段。当遇到不可变集合时，它会尝试访问底层实现类的私有字段。

3. 集合初始化方式：在问题案例中，开发者在类定义中直接初始化了一个ArrayList（private List<AuthGrantedAuthorityBO> authorities = new ArrayList<>()），这种初始化方式在某些情况下会被JDK优化为不可变集合。

解决方案

针对这个问题，目前有以下几种解决方案：

1. 临时解决方案：

   • 显式配置Dubbo使用fastjson2作为序列化方式
   • 修改代码，避免在字段声明时直接初始化集合，改为在构造函数中初始化

2. 长期解决方案：

   • 等待Dubbo Hessian Lite 4.0.1版本的发布，该版本已经修复了这个问题
   • 升级到Dubbo 3.3.0-beta4或更高版本

最佳实践建议

对于使用高版本JDK（17及以上）的Dubbo用户，建议：

1. 在升级Dubbo版本时，特别注意序列化方式的变更
2. 对于新项目，考虑直接使用fastjson2作为序列化方式
3. 避免在字段声明时直接初始化集合对象，特别是对于需要序列化的类
4. 保持客户端和服务端的Dubbo版本一致，特别是在涉及序列化相关功能时

总结

这个问题展示了Java模块系统与现有序列化框架之间的兼容性挑战。随着Java版本的不断演进，类似的兼容性问题可能会越来越多地出现。Dubbo团队已经意识到这个问题，并在后续版本中进行了修复。作为开发者，我们需要关注这些底层技术的变化，并在设计和实现时考虑到这些潜在问题。