反射读取注解本身安全，风险在于后续动作；需校验来源可信、限制类加载与方法调用、禁用危险反射链、启用安全管理器并沙箱化表达式求值。

反射读取注解值本身不执行代码，但若与不受控的类加载、方法调用或表达式解析联动，就可能成为非法代码执行的跳板。关键不在“读取”，而在“后续动作”——比如根据注解值动态加载类、调用方法、拼接脚本或触发el表达式求值。

严格校验注解来源与目标元素

只允许从明确可信的类、方法、字段上读取注解，禁止处理来自用户上传字节码、动态生成类（如ASM/CGLIB临时类）或不可信JAR中的注解。

• 检查目标Class是否在白名单包路径下（如com.mycompany.api.*），拒绝sun.*、jdk.internal.*或未知第三方包
• 对getAnnotation()返回结果做非空+类型双重校验，避免被伪造注解代理（如通过Proxy.newProxyInstance构造恶意InvocationHandler）
• 若使用getDeclaredAnnotations()，需额外过滤掉@Deprecated、@SuppressWarnings等无关元注解，防止干扰判断逻辑

禁用危险反射操作链

注解属性值只是字符串、Class数组或枚举等常量，一旦将其用于Class.forName()、Method.invoke()或Constructor.newInstance()，风险立即升级。

• 禁止将@ApiEndpoint.allowedRoles()这类Class数组直接传给ClassLoader.loadClass()；应预注册合法角色类，仅做名称比对
• 避免在注解中存储可执行逻辑标识（如scriptType = "groovy" + scriptPath = "/tmp/mal.sh"），这类设计本质是开放命令注入入口
• 若必须支持扩展点，改用SPI机制或显式工厂注册表，而非靠反射“猜”要调什么

启用安全管理器并限制反射权限

在JVM启动参数中启用-Djava.security.manager，配合自定义SecurityManager策略文件，精准约束反射行为。

• 撤销RuntimePermission("accessDeclaredMembers")，阻止setAccessible(true)绕过封装
• 限制ReflectPermission("suppressAccessChecks")仅授予核心框架模块（如Spring、Hibernate），业务代码无权获取
• 对java.lang.Class的forName和getClassLoader调用添加堆栈追踪，拦截来自非预期包的类加载请求

注解值预处理与沙箱化求值

当注解含表达式（如@ConditionalOnProperty(spel = "system.properties['env'] == 'prod'")），必须在受限上下文中求值，而非直接交给标准SpEL解析器。

• 使用StandardEvaluationContext时，禁用setBeanResolver和setConstructorResolvers，防止对象创建逃逸
• 为SpEL配置白名单函数（如isNotBlank、toLowerCase），禁用new、T()、#context等高危操作
• 敏感注解（如权限、路由路径）的值应强制小写、去空格、正则校验（如path()匹配^/[a-z0-9/_]+$），拒绝含..、$、{等字符的输入