隐式依赖是模块化系统中最隐蔽也最危险的问题之一，它不会在编译时报错，却会在运行时突然抛出noclassdeffounderror、illegalaccesserror或反射失败，尤其在银行、金融等高稳定性要求场景中极易引发线上故障。
隐式依赖是模块化系统中最隐蔽也最危险的问题之一——它不会在编译时报错，却会在运行时突然抛出 NoClassDefFoundError、IllegalAccessError 或反射失败，尤其在银行、金融等高稳定性要求场景中极易引发线上故障。
用 jdeps 暴露真实依赖链
Java 自带的 jdeps 是识别隐式依赖的第一道防线。它能穿透 classpath 和 modulepath，揭示代码实际调用的类和模块关系：
- 检查所有直接/间接依赖：
jdeps --module-path mods/ --list-deps your-app.jar，重点关注标为unnamed module的 JAR——它们就是未模块化的“黑盒”，极可能偷偷访问你未导出的内部包 - 定位非法跨包调用：
jdeps --multi-release 17 --verbose:class your-app.jar | grep "not exported"，快速揪出被其他模块非法引用但你并未exports的包 - 验证模块边界是否被绕过：
jdeps --require java.base --require com.example.service your-app.jar，确认是否有多余或缺失的requires
强制启用模块校验机制
不开启校验，等于给隐患发通行证。必须在开发和测试阶段就用 JVM 参数堵住漏洞口：
Alibabacloud Sdk Client Initialization For Java
下载
在 Java 中初始化和管理阿里云 SDK客户端。包括单例模式、线程安全、endpoint 与 region 配置、VPC 终端节点、同步与异步等。
- 编译期拦截：
javac --module-source-path src --validate-modules --module-path mods/ ...，让编译器报出“某模块试图访问未导出包”这类设计缺陷 - 运行时封禁非法反射：
java --illegal-access=deny --module-path mods/ -m com.example.app，一旦有框架（如 Jackson、Hibernate）尝试反射访问未opens的包，立刻崩溃并打印堆栈，逼你正视问题 - 启动时验证模块完整性：
java --validate-modules --module-path mods/ -m com.example.app，检测循环依赖、缺失requires或导出冲突
把第三方库从 classpath 移到 modulepath
绝大多数隐式依赖源于把旧版 JAR 放在 -cp 而非 --module-path。JVM 对 classpath 上的 JAR 默认启用“强封装”，但又不报错，只默默拒绝访问——这是最大陷阱。
- Maven 项目需显式启用模块路径：
<usemodulepath>true</usemodulepath>（Maven Compiler Plugin 配置），否则module-info.java形同虚设 - 命令行运行时，一律用
--module-path替代-cp，并将所有依赖 JAR（包括 Spring、Log4j 等）一并加入，让 JVM 正确识别自动模块名（如org.springframework.core） - 对无
Automatic-Module-Name的老 JAR，手动打补丁：用jmod create --class-path legacy.jar --automatic-module-name com.old.lib legacy.jmod，再纳入 modulepath
用 ArchUnit 在测试中固化架构约束
光靠工具扫描不够，要把模块规则写进自动化测试，让违规行为无法合入主干：
- 禁止 controller 层直连 dao 内部类：
noClasses().that().resideInAPackage("..controller..") .should().accessClassesThat().resideInAPackage("..dao.internal..") - 强制所有 service 模块只能依赖
java.base和指定工具模块：classes().that().haveNameMatching(".*Service.*") .should().onlyDependOnClassesThat().resideInAnyPackage("java.base", "com.example.util") - 结合 CI 流程，在 PR 构建阶段执行这些规则，失败即阻断发布
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
