Java中的JarFile与JarEntry类_类库实现对Jar包内部结构的程序化访问-java教程-PHP中文网

应使用 try (JarFile jar = new JarFile(path, true)) 安全打开JAR，要求路径为本地绝对路径或file:// URI，启用验证；文件被占用时改用ZipInputStream；注意JarEntry.getName()无前导/、需手动规范化路径防遍历攻击、编码可能乱码、entries()/stream()无序、getTime()/getSize()常返回-1。

java中的jarfile与jarentry类_类库实现对jar包内部结构的程序化访问

怎么用 `JarFile` 安全打开一个 JAR 文件

直接 new JarFile("xxx.jar") 很容易在文件不存在、损坏或被其他进程占用时抛出 IOException，甚至触发 SecurityException（比如从网络 URL 加载且未签名）。必须包裹 try-with-resources，否则句柄泄漏会导致后续无法删除或重写该 JAR。

永远用 try (JarFile jar = new JarFile(path, true)) —— 第二个参数 true 表示启用验证，能提前发现 MANIFEST.MF 校验失败
路径必须是本地绝对路径或 file:// 开头的 URI；不支持 http:// 或类路径资源（如 getClass().getResource() 返回的 jar:file:// URL 需先提取文件路径）
若 JAR 被 IDE 或构建工具锁住（常见于正在运行的 Spring Boot 应用），JarFile 会直接失败，此时应改用 ZipInputStream 流式读取（牺牲随机访问能力）

`JarEntry` 的 getName() 返回路径格式和陷阱

JarEntry.getName() 返回的是以正斜杠 / 分隔的内部路径，**不带前导 /**，例如 "META-INF/MANIFEST.MF" 或 "com/example/Main.class"。这不是文件系统路径，不能直接传给 new File()。

判断是否为目录：检查 entry.getName().endsWith("/")，而不是靠 entry.isDirectory() —— 后者在某些 JDK 版本中不可靠，尤其对空目录条目
路径中的 .. 或 . 不会被自动规范化，恶意构造的 JAR 可能含 "../../etc/passwd" 这类路径，解压时需手动校验（如 Paths.get(entry.getName()).normalize().startsWith("allowed/...")）
注意编码：JAR 规范允许 UTF-8，但旧工具打包可能用平台默认编码，JarEntry 不做转码，getName() 返回字节原样解码结果，中文路径乱码时得用 ZipInputStream + 自定义 Charset

遍历所有条目时，`entries()` 和 `stream()` 的性能与顺序差异

JarFile.entries() 返回的是 Enumeration，而 JarFile.stream()（JDK 8+）返回 Stream。两者底层都依赖 ZIP 中央目录，但行为不同。

java-api-doc-generator

分析 Java Spring Boot 后端 Controller 代码，自动生成 Markdown 格式的接口文档。当用户说“生成 Java 接口文档”、“生成 API 文档”、“从 Spring 代码生成文档”时触发。

下载

entries() 是懒加载，但不保证顺序；实际顺序取决于 ZIP 中央目录记录顺序，通常和打包时添加顺序一致，但压缩工具可能重排
stream() 默认也是无序的，若需按路径排序，必须显式 .sorted(Comparator.comparing(JarEntry::getName))，否则 META-INF/ 可能排在最后
不要在循环中反复调用 getJarEntry("xxx") 查找 —— 每次都线性扫描中央目录，O(n)；应先用 stream().collect(Collectors.toMap(JarEntry::getName, e -> e)) 建索引

为什么 `JarEntry.getTime()` 经常返回 -1

ZIP 格式只存储 DOS 时间戳（精度 2 秒，范围 1980–2107），且 JAR 打包工具（如 Maven Shade、Gradle）默认不写入时间戳，导致 JarEntry.getTime() 返回 -1。这不是 bug，是规范允许的“未指定”状态。

别拿它做缓存判断或增量构建依据；需要可靠时间信息，应读取 META-INF/MANIFEST.MF 里的 Created-By 或自定义头字段
JarEntry.getSize() 和 getCompressedSize() 也可能为 -1（流式压缩或未知大小），此时需用 getInputStream() 实际读取并计数
若必须校验内容一致性，优先用 Manifest 中的 Digest 属性，或对 getInputStream() 做 SHA-256 计算，而非依赖时间戳