多模块Java项目启用模块系统后，module-info.class不可混淆，必须显式排除——因其是JVM模块元数据载体，混淆会导致模块解析失败；正确做法是在ProGuard配置中添加-dontwarn module-info、-dontnote module-info，并禁用-stringobfuscation，同时确保构建流程中module-info.class不被通配符误扫或覆盖。

多模块 Java 项目启用模块系统（module-info.java）后，混淆需特别处理——因为 module-info.class 不是普通类，它由 JVM 在运行时解析，不参与常规字节码执行，但其中的模块名、requires、exports、opens 等声明若被错误混淆，会导致模块解析失败、NoModuleException 或运行时 ClassNotFoundException。它本身不含“变量名”供 ProGuard 重命名，但其结构语义极易因混淆配置不当而被破坏。

module-info 不该被混淆，必须显式排除

module-info.class 是 JVM 模块系统的元数据载体，ProGuard 默认不会处理它（也不应处理）。若发现混淆后模块加载异常，常见原因是：

• 误将 module-info.class 包含在 -injars 输入中（例如用通配符 **/*.class 扫描整个 classes/ 目录）
• 使用了全局 -keep class ** { *; } 类规则，意外触发 ProGuard 对 module-info 的解析尝试（虽实际无效，但可能干扰构建流程）
• 某些老旧混淆插件（如早期 Jocky）未识别模块目录结构，把 module-info.class 当作普通类读取并报错

✅ 正确做法：在 proguard-rules.pro 中明确排除模块描述符：

-dontwarn module-info
-dontnote module-info
-keep class module-info { *; }

 ← 实际无字段方法，此句仅起占位与兼容作用
-printmapping mapping.txt ← 每次混淆后检查 mapping.txt 是否含 module-info 行，如有则说明配置有误

模块内普通类的变量名混淆仍需精准控制

模块内的业务类（如 com.example.service.UserService）及其字段（包括对象类型变量）仍可且应被混淆，但需避开以下三类关键字段：

• 被 @Exported / @Open 注解修饰的包级成员：模块系统不干涉字段名，但若该字段被反射调用（如 Spring Bean 属性注入），需保留名称
• 通过 ModuleLayer 或 Configuration 动态加载的类中使用的字段：例如 module.getDescriptor().exports() 返回的是字符串，不依赖字段名；但若代码里写 Class.forName("com.example.model.User").getDeclaredField("userName")，则 userName 必须 -keep
• 被 java.lang.Module.addExports 或 addOpens 显式开放的类中的私有字段：这些字段虽被开放，但名称仍可混淆——除非反射直接按名访问

✅ 推荐保留策略（最小化）：

-keepclassmembers class com.example.model.** {
public ;
protected ;
}
# 若仅需保留 JSON 序列化字段，用更细粒度：
-keepclassmembers class com.example.dto.** {
@com.fasterxml.jackson.annotation.JsonProperty ;
@com.google.gson.annotations.SerializedName ;
}

反编译防护效果验证不能只看源码结构

对模块化项目，仅用 JD-GUI 或 JADX 打开 JAR 查看类字段是否变成 a、b 不够——还需验证模块层行为：

• 运行 java --list-modules | grep your.module.name，确认模块名未被改写（模块名由 module-info.java 声明，不可混淆）
• 启动应用后，执行 jshell --class-path your-app.jar，再输入 /mods，检查导出包（exports）是否完整，包名是否仍为原始值（包名也不可混淆）
• 用 jdeps --list-deps your-app.jar 验证依赖关系是否仍能被正确识别（混淆不影响 requires 字符串）

⚠️ 注意：模块名、包名、导出/开放的包路径，全部属于字符串常量，若开启 ProGuard 的 -stringobfuscation（非默认），可能被加密——这会导致模块系统无法识别，必须禁用：

-dontobfuscatestrings
-keepattributes Module,ModuleResolution

 ← 保留模块相关属性，避免丢失元数据

构建流程中确保模块信息不被覆盖或遗漏

多模块 Maven 项目常使用 maven-jar-plugin 或 spring-boot-maven-plugin 打包，混淆步骤若插入位置不对，可能导致 module-info.class 被跳过或重复打包：

• ProGuard Maven 插件应在 package 阶段前执行，且 指向 target/classes（含 module-info.class），但需配合 过滤该文件
• 若使用 spring-boot-maven-plugin 构建 fat jar，需确认其 列表包含 module-info.class，否则最终 JAR 将无模块声明，退化为传统 JAR
• Gradle 用户注意：proguard-android 已弃用，应使用 proguard-gradle 并手动指定 module-info.class 排除路径

✅ 安全打包模板（Maven）：

com.github.wvengen
proguard-maven-plugin

${project.build.outputDirectory}
${project.build.finalName}-obf.jar
${java.home}/jmods/java.base.jmod

-dontwarn module-info
-libraryjars ${java.home}/jmods/java.base.jmod(!**.jar)