静态代码块仅用于密钥/配置的预加载与安全校验，核心业务变量签名必须延后至ApplicationContext初始化阶段，结合时间戳、类加载器哈希和不可变封装实现防篡改与防重放。

静态代码块在类加载时执行一次，适合做不可变初始化和安全校验，但不能直接用于对“核心业务变量”做运行期签名——因为签名操作通常依赖时间、上下文、密钥或外部服务，而静态块内无法获取这些动态信息。真正可行的做法是：用静态块完成密钥/配置的预加载与基础校验，再将签名逻辑下沉到受控的初始化方法中。

静态块只做可信资源的预加载与防篡改校验

例如加载签名所需的私钥或公钥证书，可放在 static 块中读取 classpath 下的只读资源，并验证其 SHA-256 摘要是否匹配预期值：

• 把 key.pem 和 key.sha256 放入 resources/config/ 目录
• 静态块中用 ClassLoader.getResourceAsStream 读取二者
• 计算 key.pem 的实际哈希，比对 key.sha256 内容；不一致则抛出 SecurityException，阻止类加载继续
• 校验通过后，将 KeyPair 解析为 static final 字段缓存，后续签名复用

核心变量签名必须延后到 ApplicationContext 初始化阶段

Spring 环境下，真正的业务变量（如商户白名单、风控规则集）往往来自数据库、配置中心或远程 API，它们在 static 块执行时尚未就绪。应利用 SmartInitializingSingleton 或 @PostConstruct 方法，在 Bean 实例化完成、依赖注入完毕后统一签名：

• 定义一个 @Component 类，持有待签名的 Map configCache
• @PostConstruct 中遍历 configCache，对每个 value 计算 HmacSHA256（key 来自上一步静态加载的 SecretKey）
• 将签名结果以 "value#sig" 形式存入只读包装 Map，或替换为 SignedValue 包装对象
• 对外提供 getTrusted(String key) 方法，自动校验签名再返回原始值

签名结果需绑定生命周期并防御重放

单纯加签不防篡改，还需确保签名本身不可被绕过或复用：

• 签名时加入启动时间戳（System.nanoTime()）和类加载器 hash，使每次 JVM 启动签名唯一
• 签名后的数据结构使用 Collections.unmodifiableMap 封装，禁止运行时修改
• 若变量支持热更新（如规则引擎），需设计带版本号的签名方案，旧签名自动失效
• 日志中记录首次签名完成时间与签名项数量，便于审计与故障回溯