Как предотвратить сериализацию в Java?

Применить ключевое слово transient к полям, которые не должны сериализоваться.

import java.io.Serializable;

public class User implements Serializable {
    private String username;
    private transient String password; // transient поле - не будет сериализовано

    public User(String username, String password) {
        this.username = username;
        this.password = password;
    }

    // getters and setters
}

Реализовать методы writeObject и readObject с пользовательской логикой, исключающей сериализацию определенных полей.

import java.io.IOException;
import java.io.ObjectInputStream;
import java.io.ObjectOutputStream;
import java.io.Serializable;

public class SensitiveData implements Serializable {
    private String importantInfo;
    private String sensitiveInfo; // поле, которое не хотим сериализовать

    public SensitiveData(String importantInfo, String sensitiveInfo) {
        this.importantInfo = importantInfo;
        this.sensitiveInfo = sensitiveInfo;
    }

    private void writeObject(ObjectOutputStream oos) throws IOException {
        oos.defaultWriteObject(); // Сериализовать все поля по умолчанию
        // Не записываем sensitiveInfo
    }

    private void readObject(ObjectInputStream ois) throws IOException, ClassNotFoundException {
        ois.defaultReadObject(); // Десериализовать все поля по умолчанию
        // sensitiveInfo будет null после десериализации, если не было записано
    }

    // getters and setters
}

Сделать класс неимплементирующим интерфейс Serializable или сделать поле типа данных, неимплементирующего Serializable. В случае агрегации, если поле несериализуемо, то и основной объект не сможет быть сериализован по умолчанию.

// Класс не имплементирует Serializable - его нельзя сериализовать
public class NonSerializableObject {
    private String data;

    public NonSerializableObject(String data) {
        this.data = data;
    }
}

import java.io.Serializable;

public class ContainsNonSerializable implements Serializable {
    private String name;
    private NonSerializableObject item; // поле типа NonSerializableObject

    public ContainsNonSerializable(String name, NonSerializableObject item) {
        this.name = name;
        this.item = item; // Это повлечет исключение NotSerializableException при попытке сериализации
                         // если не обработать в writeObject/readObject
    }

    // getters and setters
}