java模块化下动态类加载须遵守模块边界、访问控制与运行时策略三重约束，核心是不破坏封装、不绕过检查、不扩大权限；动态类必须置于module-path，禁用urlclassloader和宽松反射模式，需显式opens授权、签名校验、敏感包拦截、字节码扫描及沙箱权限最小化。
Java 模块化系统（JPMS）下动态类加载不再是“能加载就行”，而是必须在模块边界、访问控制和运行时策略三重约束下合规进行。核心原则是：**不破坏封装、不绕过检查、不扩大权限**。
明确模块上下文，禁用隐式类路径加载
动态加载不能脱离模块环境。JVM 默认将 classpath 上的类归入“未命名模块”（unnamed module），它无法访问命名模块的非导出包，也容易引发 IllegalAccessError。
- 所有动态加载目标（如插件 JAR）必须放在 module-path 而非 classpath 上，使其成为自动模块或命名模块
- 避免使用
URLClassLoader直接加载——它默认创建匿名类加载器，脱离模块层，应改用ModuleLayer.defineModulesWithOneLoader()构建受控模块层 - 启动 JVM 时禁用宽松模式：
--illegal-access=deny，防止反射穿透模块边界
反射访问需精确授权，拒绝全开式 opens
模块内若需支持动态类通过反射访问内部类型，必须用 opens 显式限定范围，而非开放整个包。
Alibabacloud Sdk Client Initialization For Java
下载
在 Java 中初始化和管理阿里云 SDK客户端。包括单例模式、线程安全、endpoint 与 region 配置、VPC 终端节点、同步与异步等。
- 危险写法（禁止）：
opens com.example.internal;→ 允许任意模块反射调用 - 合规写法：
opens com.example.internal to com.trusted.plugin;→ 仅授权指定模块 - 若插件模块无固定名称（如动态下载的 JAR），可将其置于独立
ModuleLayer，并用Configuration.resolveAndBind()显式声明依赖与开放关系
字节码加载前强制校验，嵌入可信链
自定义类加载器在 defineClass 前必须完成三重校验，否则直接拒绝：
-
来源可信：校验 JAR 签名（
CodeSource.getCertificates()），只允许白名单证书签发的模块 -
包名合规：拦截
java.*、sun.*、jdk.internal.*等敏感包名的加载请求 -
指令安全：用 ASM 扫描字节码，检测
ldc java.lang.Runtime、invokestatic Unsafe.getUnsafe等高危调用
运行时权限最小化，隔离敏感能力
即使类成功加载，也要限制其实际行为能力：
- 为动态模块关联自定义
ProtectionDomain，只授予必要权限（如仅读取特定目录，禁止RuntimePermission "createClassLoader"） - 沙箱中不暴露
Runtime.getRuntime()或System实例；命令执行统一走封装接口（如SandboxExecutor.exec(cmd)） - 反序列化必须配合
jdk.serialFilter白名单，且禁止加载来自动态模块的类
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
