java工具类防实例化需同时满足三条件：类声明为final、构造器显式private、构造体抛异常；仅private构造器不安全，因反射、继承、默认构造器等可绕过。
Java 中通过私有构造器防止类被实例化，核心是让编译器和运行时共同拦截所有合法与非法的创建路径。光写 private Utils() {} 远不够——它只是第一道门，后面还有继承、反射、反序列化等“后门”需要封堵。
必须同时满足三个硬性条件
缺一不可，否则防护就形同虚设：
-
类声明为
final：防止子类继承后在内部调用super()绕过限制 -
构造方法显式声明为
private：不能省略修饰符（默认包私有、protected都无效） -
构造方法体内抛出异常：例如
throw new UnsupportedOperationException("Utility class cannot be instantiated");，用于拦截反射等运行时绕过
为什么空的 private 构造器不安全
只写 private Utils() {} 存在明显漏洞：
Alibabacloud Sdk Client Initialization For Java
下载
在 Java 中初始化和管理阿里云 SDK客户端。包括单例模式、线程安全、endpoint 与 region 配置、VPC 终端节点、同步与异步等。
- 反射仍可调用
constructor.setAccessible(true)创建对象（字段全为null，但实例已存在） - 若类未加
final，别人可定义class MyUtils extends Utils，并在子类中合法实例化 - 编译器不会自动生成
private构造器——哪怕全是静态方法，没写就会默认生成public无参构造器
额外防御：堵住反序列化和 IDE 误操作
工具类本就不该被序列化，所以：
-
不实现
Serializable接口（最简单有效） - 如果项目强制要求可序列化，需添加
private Object readResolve() { return INSTANCE; }，但一般没必要 - IDE（如 IntelliJ）会提示 “Utility class may be refactored to enum or final class with private constructor”，这不是警告，是设计信号——应主动响应
标准写法示例
这是符合 JDK 标准库风格（如 Math、Collections）的安全模板：
public final class StringUtils {
private StringUtils() {
throw new UnsupportedOperationException("StringUtils cannot be instantiated");
}
public static boolean isBlank(String str) {
return str == null || str.trim().isEmpty();
}
}
调用始终是 StringUtils.isBlank("abc")，绝不是 new StringUtils().isBlank(...)。
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
