java等语言无法原生限制protected字段的继承访问，须通过spotbugs/pmd自定义规则+构建拦截实现自动化强制；辅以jpms模块化收窄可见性，并优先采用private字段+模板方法替代裸protected字段。
在继承链中限制对protected字段的访问，不能靠语言原生机制强制约束（Java/C#等均允许子类直接访问父类protected成员），必须通过静态分析工具+自定义规则+构建阶段拦截来实现“自动化强制”。核心思路是：把“不该被访问的位置”识别为违规，并在代码提交或构建时阻断。
用 SpotBugs 或 PMD 定制访问控制规则
SpotBugs（Java）和 PMD 支持编写自定义 detector / rule，可基于 AST 分析字段声明位置、访问表达式所在类与声明类的继承关系、以及是否处于“非直系子类”或“跨模块”等上下文。
- 例如：声明
protected String token;在com.example.auth.BaseSession中，但被com.example.report.Exporter（与 BaseSession 无继承关系，仅同属一个 jar）访问——这应报错 - 在 PMD 中，可写 XPath 规则匹配
FieldAccess节点，再通过getScope().getEnclosingType()和字段声明类型比对是否满足预设继承路径（如只允许BaseSession → WebSession → ApiSession，拒绝跳过中间层的访问） - SpotBugs 需扩展
BugReporter，在visit(FieldInstruction)时检查getFieldDescriptor().getClassName()与当前类的继承图谱（可用ClassDescriptor+AnalysisContext获取）
在构建流程中启用并阻断失败检查
仅配置规则不拦截等于形同虚设。需将检查嵌入 CI/CD 的必过环节：
- Maven：在
pom.xml中绑定spotbugs:check到verify阶段，并设<failonerror>true</failonerror> - Gradle：用
spotbugsMain { reports { html.required.set(true) } }并添加check.dependsOn spotbugsMain，再在 CI 脚本中判断build/reports/spotbugs/main.html是否为空或含 ERROR 级别问题 - Git Hook（本地防护）：用 Husky + lint-staged 对 Java 文件执行
./gradlew spotbugsMain --no-daemon，失败则拒绝 commit
用模块化边界辅助语义约束（Java 9+）
若项目已升级至 Java 9+，可结合 module-info.java 收窄可见性，作为静态检查的补充：
- 将含
protected字段的核心基类放入独立模块（如core.model），且不exports其包给无关模块 - 即使子类在另一模块中，只要未
requires该模块或未opens包，编译期即报错——这比运行时或静态分析更早拦截非法继承/访问 - 注意：
protected本身不受模块系统限制，但模块约束能自然限制“谁可以继承它”，从而间接收窄访问面
替代方案：用封装+模板方法代替裸 protected 字段
最可持续的“强制约束”，其实是消除对 protected 字段的依赖：
- 将字段设为
private，提供protected final getValue()和protected void setValue(...)模板方法，由父类控制读写逻辑 - 使用
protected abstract方法替代字段暴露，迫使子类通过契约方式参与状态管理（如protected abstract AuthContext createContext();） - 配合 Lombok 的
@Getter(AccessLevel.PROTECTED)+ 自定义注解处理器，在编译期校验调用方是否在合法继承链中
