不使用Spring AMQP 能否用Java内置IO类向RabbitMQ收发Java对象

首先可以明确：完全可以脱离Spring AMQP实现POJO收发。Spring AMQP本身就是对com.rabbitmq.client官方客户端的上层封装，你已经基于官方客户端实现了连接、通道、队列的基础管理，搭配JDK原生序列化做对象传输是完全符合AMQP协议规范的可行方案。

• 序列化/反序列化效率：如果Spring AMQP也采用JDK序列化作为消息转换器，两者的效率完全一致，因为底层序列化逻辑没有差异。但Spring AMQP默认支持Jackson JSON、Protobuf等更高效的序列化方案，同对象的序列化后字节体积比JDK序列化小30%~60%，序列化耗时也低50%以上，这种场景下Spring AMQP的效率更高。
• 传输层效率：两者底层都依赖RabbitMQ官方Java客户端处理网络IO，传输层面的开销完全一致。

两者安全性差距很大：

• 你当前用的原生JDK序列化存在原生的安全缺陷：攻击者可以构造恶意序列化数据包，在接收端反序列化时触发远程代码执行（RCE），如果你没有手动实现反序列化类白名单校验，会存在极高的安全风险。
• Spring AMQP默认使用JSON序列化方案，仅会将消息反序列化为你指定的POJO类型，不会加载任意未知类，天然规避了JDK序列化的RCE风险；就算Spring AMQP配置为使用JDK序列化，框架本身也内置了反序列化白名单控制能力，不需要手动实现校验逻辑。

如果要继续使用当前原生实现方案，建议重写ObjectInputStream#resolveClass方法，仅允许反序列化你业务中定义的合法POJO类，避免RCE漏洞。

内容的提问来源于stack exchange，提问作者jimmayhem