シリアライズはちゃんと扱おうとすると難しいので避けれるなら避けたほうがいい
実際、Javaの標準ライブラリでも、不正なインスタンスが作れるような穴があったのを見かけた