> Какие инструменты и библиотеки используются для сериализации и десериализации JSON в Java (Java)

Короткий ответ

В Java для JSON чаще всего используют Jackson, Gson и JSON-B. Jackson остаётся де-факто стандартом в Spring и высоконагруженных backend-сервисах благодаря производительности, streaming API и гибкой настройке. Gson проще и удобен для небольших утилит и Android. JSON-B - стандарт Jakarta EE с реализациями вроде Yasson и Johnzon. Для низкоуровневой работы применяют streaming API: JsonParser и JsonGenerator в Jackson, JsonReader и JsonWriter в Gson.

Подробное объяснение

На senior-уровне важно не просто перечислить библиотеки, а понимать trade-off между ними. Jackson делится на три модели: streaming, tree model через JsonNode и data binding через ObjectMapper. Streaming даёт минимальный overhead и контроль над памятью, tree model удобен для динамических структур, data binding - для типизированных DTO. Jackson поддерживает модули: JSR-310 для java.time, ParameterNames для конструкторов без аннотаций, Afterburner и blackbird для ускорения, а также polymorphic-сериализацию через @JsonTypeInfo.

Gson проще по API и не требует аннотаций для базовых сценариев, но исторически слабее по производительности и хуже работает с records и некоторыми edge-кейсами вроде generic-типов и null-политик. JSON-B реализует спецификацию Jakarta JSON Binding и полезен в совместимых контейнерах, но экосистема и настройка беднее, чем у Jackson.

Ключевые аспекты для senior: thread-safety ObjectMapper (он потокобезопасен после конфигурации, но конфигурировать его на каждый запрос - антипаттерн), обработка unknown properties через FAIL_ON_UNKNOWN_PROPERTIES, контроль null через @JsonInclude, кастомные сериализаторы и десериализаторы, работа с полиморфизмом и безопасность десериализации. Отдельно стоит учитывать защиту от deserialization-атак: не включать default typing без allowlist, ограничивать глубину и размер payload.

На практике

В Spring Boot Jackson подключён из коробки и настраивается через application properties или кастомизацию ObjectMapper. Для высоконагруженных сервисов ObjectMapper делают singleton-бином и переиспользуют. Для больших payload используют streaming, чтобы не держать весь документ в heap. Для интеграций с внешними API часто применяют tree model, когда схема нестабильна. Для Kafka и очередей сериализацию настраивают через Serde, обычно на Jackson. Для тестов удобно сравнивать JSON через JsonNode, а не строки, чтобы избежать проблем с порядком полей.

Пример кода

JAVA
public class JacksonExample {
    private static final ObjectMapper MAPPER = JsonMapper.builder()
        .addModule(new JavaTimeModule())
        .disable(DeserializationFeature.FAIL_ON_UNKNOWN_PROPERTIES)
        .serializationInclusion(JsonInclude.Include.NON_NULL)
        .build();

    public static void main(String[] args) throws Exception {
        User user = new User("Alice", Instant.now());
        String json = MAPPER.writeValueAsString(user);
        User parsed = MAPPER.readValue(json, User.class);
        JsonNode node = MAPPER.readTree(json);
        System.out.println(node.get("name").asText());
    }

    record User(String name, Instant createdAt) {}
}

Как отвечать на собеседовании

Начните с короткого перечисления: Jackson, Gson, JSON-B. Затем покажите глубину: объясните, почему Jackson доминирует в Spring и enterprise, какие у него три API и когда какой выбирать. Упомяните потокобезопасность ObjectMapper и типичную ошибку с его пересозданием. Добавьте про безопасность десериализации и полиморфизм. Если спросят про альтернативы, сравните Gson и JSON-B по производительности, поддержке records и экосистеме. Завершите практическим примером выбора под задачу: streaming для больших объёмов, data binding для DTO, tree model для динамических схем.

Что проверяет интервьюер

Понимание экосистемы и умение выбирать инструмент под задачу, а не знание одного API. Знание внутренних моделей Jackson и их trade-off. Осознание thread-safety и жизненного цикла ObjectMapper. Навык настройки под реальные требования: null-политики, unknown properties, java.time, полиморфизм. Понимание рисков безопасности при десериализации. Способность говорить о производительности и памяти, а не только о синтаксисе аннотаций.

Типичные ошибки

Создание нового ObjectMapper на каждый запрос вместо переиспользования singleton. Игнорирование FAIL_ON_UNKNOWN_PROPERTIES при интеграции с внешними API, что приводит к падениям при добавлении полей. Включение default typing без allowlist, что открывает вектор deserialization-атак. Использование data binding для очень больших документов вместо streaming. Забытая регистрация JavaTimeModule и последующие ошибки с Instant и LocalDateTime. Сравнение JSON строками в тестах вместо семантического сравнения через JsonNode. Путаница между Gson и Jackson по поддержке records и generic-типов.