Android JSON解析方案对比：从fastjson到现代替代方案

1. 为什么我们需要重新审视Android JSON解析方案

fastjson作为阿里巴巴开源的Java JSON处理库，曾经是Android开发者的首选工具。它的高性能和简单易用的API设计，确实在早期移动互联网时代解决了JSON序列化/反序列化的痛点。但作为一名从2012年就开始接触Android开发的老兵，我必须指出：现在还在无脑使用fastjson的开发者，可能正在给自己的项目埋下隐患。

最近帮团队排查一个线上崩溃时，发现又是fastjson反序列化导致的ClassCastException。这让我想起2019年fastjson爆出的严重安全漏洞，当时我们不得不连夜升级版本。类似的问题在过去几年里反复出现，促使我重新评估Android平台的JSON处理方案。

2. fastjson的现状与潜在风险

2.1 项目维护状态警示

打开fastjson的GitHub仓库（目前已被归档为只读状态），可以看到项目最后一次release版本停留在1.2.83。虽然官方推荐迁移到fastjson2，但作为Android开发者需要特别注意：

重要提示：fastjson2的最低SDK要求是Java 8，而很多Android项目仍需要兼容Java 7环境。这意味着在Android上使用fastjson2可能存在兼容性问题。

2.2 典型问题案例分析

去年我们项目遇到的真实问题：当JSON中包含特殊格式的日期字符串时，fastjson的默认解析会抛出ParseException。查看源码发现其日期解析逻辑存在缺陷：

// fastjson内部的日期处理片段 if (text.length() == 10) { return new java.sql.Date(year, month, day); }

这种硬编码的日期格式判断，导致很多ISO 8601格式的日期无法被正确解析。我们最终不得不通过定制Serializer来解决，增加了不必要的复杂度。

2.3 性能测试数据对比

在Redmi Note 11 Pro（骁龙695）上的实测数据：

虽然fastjson在某些场景仍有速度优势，但差距已经不明显。而Moshi凭借Kotlin友好的API设计，在实际项目中往往能获得更好的综合体验。

3. 现代Android开发中的JSON方案选型

3.1 Gson：稳定可靠的替代品

Google的Gson虽然性能稍逊，但其优势在于：

• 更严格的类型安全校验
• 更可预测的解析行为
• 完善的文档和社区支持

典型配置示例：

val gson = GsonBuilder() .setDateFormat("yyyy-MM-dd'T'HH:mm:ssZ") .registerTypeAdapter(MyData::class.java, MyCustomAdapter()) .create()

3.2 Moshi：Kotlin项目的首选

对于使用Kotlin的项目，Moshi提供了更符合现代Android开发的体验：

val moshi = Moshi.Builder() .add(KotlinJsonAdapterFactory()) .add(MyCustomAdapter()) .build() val jsonAdapter = moshi.adapter(MyData::class.java) val data = jsonAdapter.fromJson(jsonString)

其优势包括：

• 原生支持Kotlin null安全
• 通过代码生成实现更好的性能
• 与Retrofit完美集成

3.3 kotlinx.serialization：纯Kotlin方案

对于新启动的纯Kotlin项目，官方提供的序列化框架值得考虑：

@Serializable data class User(val name: String, val age: Int) fun main() { val user = User("John", 25) val json = Json.encodeToString(user) println(json) // {"name":"John","age":25} }

4. 迁移实践与常见问题

4.1 渐进式迁移策略

对于已有大型项目，建议采用分阶段迁移：

1. 在新功能中使用新JSON库
2. 逐步替换非关键路径的fastjson代码
3. 最后处理核心业务逻辑部分

4.2 数据兼容性处理

特别注意日期格式、自定义序列化逻辑等差异。建议添加兼容层：

object JsonCompat { private val moshi = Moshi.Builder().build() fun <T> fromJson(json: String, type: Class<T>): T { return try { moshi.adapter(type).fromJson(json)!! } catch (e: Exception) { // 回退逻辑 Gson().fromJson(json, type) } } }

4.3 性能优化技巧

• 对于高频调用的Adapter，考虑使用@JsonClass注解生成代码
• 复用Json实例和Adapter对象
• 对大文件处理使用流式API

5. 安全防护建议

无论选择哪种方案，都应遵循以下安全实践：

1. 严格校验输入JSON的结构和内容
2. 禁用允许设置任意类型的特性（如fastjson的Feature.SupportAutoType）
3. 及时更新库版本
4. 对敏感字段实现自定义序列化逻辑

在项目根build.gradle中添加依赖检查：

dependencyCheck { failBuildOnCVSS = 7 suppressionFile = 'security-suppressions.xml' }

6. 实战：构建安全的JSON解析框架

下面给出一个完整的防护性封装示例：

class SafeJsonParser private constructor( private val moshi: Moshi ) { companion object { fun create(): SafeJsonParser { return SafeJsonParser( Moshi.Builder() .add(StrictTypeChecker) .add(LoggingInterceptor) .build() ) } } inline fun <reified T> fromJson(json: String): Result<T> { return try { val adapter = moshi.adapter(T::class.java) Result.success(adapter.fromJson(json)!!) } catch (e: Exception) { Result.failure(JsonParseException("解析失败", e)) } } } object StrictTypeChecker : JsonAdapter.Factory { override fun create( type: Type, annotations: Set<Annotation>, moshi: Moshi ): JsonAdapter<*>? { // 类型检查逻辑 return null } }

7. 性能对比深度分析

通过Android Profiler对三种方案进行更详细的对比测试：

测试设备：Pixel 6 Pro (Android 13) 测试数据：包含1000个嵌套对象的JSON（约1.5MB）

可以看到Moshi在综合表现上更为均衡，特别是方法调用次数明显较少，这对减少Android应用的GC压力很有帮助。

8. 特殊场景处理方案

8.1 多态类型解析

处理继承结构的推荐方式（以Moshi为例）：

@JsonClass(generateAdapter = true, generator = "sealed:type") sealed class Message { @TypeLabel("text") data class Text(val content: String) : Message() @TypeLabel("image") data class Image(val url: String) : Message() } val moshi = Moshi.Builder() .add(PolymorphicJsonAdapterFactory.of(Message::class.java, "type")) .build()

8.2 大数据量流式处理

当处理网络流或大文件时，应使用流式API：

fun parseLargeJson(stream: InputStream): Sequence<Data> = sequence { val reader = JsonReader.of(stream.bufferedReader()) reader.beginArray() while (reader.hasNext()) { yield(dataAdapter.fromJson(reader)!!) } reader.endArray() reader.close() }

9. 调试与问题排查

当遇到解析问题时，可以启用详细日志：

object LoggingInterceptor : JsonAdapter.Factory { override fun create( type: Type, annotations: Set<Annotation>, moshi: Moshi ): JsonAdapter<*>? { val delegate = moshi.nextAdapter<Any>(this, type, annotations) return object : JsonAdapter<Any>() { override fun fromJson(reader: JsonReader): Any? { val json = reader.peekJson() val result = delegate.fromJson(json) Log.d("JSON_DEBUG", "Parsed $type from ${json.readJsonValue()}") return result } } } }

10. 未来趋势与建议

随着Kotlin在Android开发的普及，kotlinx.serialization和Moshi这类对Kotlin支持更好的方案将成为主流。对于新项目，我的个人建议是：

1. 纯Kotlin项目优先考虑kotlinx.serialization
2. Java/Kotlin混合项目使用Moshi
3. 遗留Java项目可以继续使用Gson
4. 除非有特殊需求，否则不再考虑fastjson

在性能优化方面，可以关注：

• 使用@JsonClass生成代码而非反射
• 对不变的数据结构使用value类
• 合理利用缓存机制