Как сериализация Java может незаметно создать второй экземпляр Singleton и как это предотвратить?

Десериализация полностью обходит конструкторы, по умолчанию создавая совершенно новый объект, если только класс не реализует readResolve() для возврата вместо этого существующего экземпляра. Одноэлементные перечисления полностью исключают это — JVM гарантирует, что десериализация преобразуется обратно в ту же константу перечисления без дополнительного кода.

Пример

// Classic GoF Singleton: enforced by the class itself
public class ConfigManager {
    private static final ConfigManager INSTANCE = new ConfigManager();
    private ConfigManager() {} // private constructor blocks any other instantiation
    public static ConfigManager getInstance() { return INSTANCE; }
}

Итог

Десериализация полностью обходит конструкторы, по умолчанию создавая совершенно новый объект, если только класс не реализует readResolve() для возврата вместо этого существующего экземпляра.