防止对象劫持的核心是切断所有篡改路径：通过final类声明、private final字段及所有操作返回新对象三重机制，确保String内容在传递、共享或跨模块调用中始终不可变，如数据库URL、权限校验字符串、类名等关键信息不会被意外或恶意修改。

防止对象劫持的核心是切断所有篡改路径

String 被劫持，通常指外部代码通过引用修改其内容，从而影响其他依赖该字符串的逻辑（比如把数据库 URL 改成恶意地址、把类名替换成攻击类）。Java 并非靠单一机制防劫持，而是用三重设计协同封死所有常见入口：

• final 类声明：禁止继承，杜绝子类添加可变方法（如 setCharAt 或覆盖 concat 行为）；
• private final 字段：内部 value 数组（JDK9+ 是 byte[]）不可见、不可重赋值，且构造时做防御性拷贝，即使你传入一个可变 char[]，String 也只复制一份，不共享底层数组；
• 所有操作返回新对象：replace、substring、toUpperCase 等方法均不修改原实例，而是新建字符串——调用方拿到的永远是“副本”，原始对象状态锁死。

关键场景下如何阻断劫持意图

劫持往往发生在参数传递、共享引用或跨模块协作中。不可变性让这些场景天然免疫：

• 传入 数据库连接串（如 "jdbc:mysql://localhost/test"）给连接池后，任何中间层调用 url.replace("test", "admin") 都只生成新字符串，原始 url 不会变；
• 安全管理器校验权限时使用的 "setSecurityManager" 这类字符串，若可变，攻击者可能在检查后、执行前篡改它——而实际中，这个字符串一旦创建就恒定；
• 类加载器依据 "java.lang.Object" 加载类，不可变确保委托链各环节看到的类名完全一致，无法被运行时动态污染。

不依赖开发者自觉，而是由语言机制强制保障

这不是靠文档提醒或 Code Review 来防劫持，而是 JVM 和标准库默认行为就排除了风险：

java-api-doc-generator

分析 Java Spring Boot 后端 Controller 代码，自动生成 Markdown 格式的接口文档。当用户说“生成 Java 接口文档”、“生成 API 文档”、“从 Spring 代码生成文档”时触发。

下载

• 没有 public setter、append、clear 等方法暴露修改能力；
• value() 方法是 package-private，且 JDK9+ 返回的是副本而非原始引用；
• 常量池复用（s1 == s2）的前提正是内容绝对不变——如果允许劫持，共享就等于危险。

注意边界：反射不是设计目标，而是破坏契约

通过反射强行修改 value 字段，技术上可行，但这属于绕过 Java 安全模型的非常规操作。JVM 不承诺这种行为的结果，且会破坏常量池一致性、哈希缓存、甚至引发类加载异常。日常开发和安全审查中，“防劫持”所指的，就是标准 API 下的合法使用场景——在这个范围内，String 的设计已足够坚实。

Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南