要让类支持pickle序列化但排除敏感属性，需自定义__getstate__方法过滤password、api_key等字段，必要时用__setstate__重置其值。
要让类支持 pickle 序列化但排除某些敏感属性，关键在于自定义序列化逻辑，避免将密码、密钥、临时连接对象等写入序列化数据。Python 提供了 __getstate__ 和 __setstate__ 两个特殊方法来精确控制哪些属性被保存和恢复。
使用 __getstate__ 过滤敏感字段
在序列化前，pickle 会检查实例是否有 __getstate__ 方法。如果有，就调用它获取要保存的字典；否则默认保存 __dict__。你可以在该方法中复制原始状态，并删掉不想持久化的键。
例如：
class User:
def __init__(self, name, password, api_key, temp_cache=None):
self.name = name
self.password = password # 敏感
self.api_key = api_key # 敏感
self.temp_cache = temp_cache # 临时/非必要
self.created_at = time.time()
def __getstate__(self):
# 获取当前状态字典
state = self.__dict__.copy()
# 排除敏感和临时字段
for attr in ['password', 'api_key', 'temp_cache']:
state.pop(attr, None)
return state可选：用 __setstate__ 控制反序列化行为
如果被排除的属性在反序列化后需要默认值或重新初始化（比如重置为 None 或重建缓存），可以实现 __setstate__。它接收 __getstate__ 返回的字典，并用于更新实例状态。
例如：
def __setstate__(self, state):
# 恢复基本状态
self.__dict__.update(state)
# 显式初始化被排除的字段
self.password = None
self.api_key = None
self.temp_cache = {}
避免意外序列化描述符或动态属性
如果类中用了 @property、__slots__ 或描述符（如 dataclasses.field(repr=False)），注意：__getstate__ 默认只处理 __dict__。若用了 __slots__，需手动构造状态字典；若属性是通过描述符动态计算的，通常不应出现在 __dict__ 中，自然不会被序列化——但建议仍显式检查。
对 __slots__ 类，可这样写 __getstate__：
def __getstate__(self):
state = {}
for slot in self.__slots__:
if hasattr(self, slot) and slot not in {'password', 'api_key'}:
state[slot] = getattr(self, slot)
return state
测试是否真正排除了敏感字段
别只看代码逻辑，实际验证一下：
- 用
pickle.dumps(obj)得到字节串 - 用
pickle.loads()反序列化后检查.password是否为None或不存在 - 也可用
pprint.pprint(pickletools.dis(pickle.dumps(obj)))粗略查看序列化内容（不推荐用于生产判断，仅调试）
确保敏感字段既没出现在序列化结果里，也不会在反序列化后意外复活。
