Java程序启动无报错但无法访问，很可能是Windows防火墙静默拦截了localhost端口；需通过netsh命令临时关闭防火墙验证，并为java.exe添加入站规则，而非仅放行端口。
Java程序启动失败但无报错，可能是防火墙拦截了本地端口
Java应用（尤其是Spring Boot、Tomcat、Netty服务）默认监听 localhost:8080 或其他本地端口，看似不涉及网络，但Windows防火墙有时会将 127.0.0.1 流量误判为“入站连接”并静默拦截——尤其当JVM进程首次绑定端口时，系统弹窗被忽略或设置为“拒绝”，后续就不再提示。
- 典型现象：
java -jar app.jar控制台输出“Started Application in X seconds”，但浏览器访问http://localhost:8080显示“无法连接”或ERR_CONNECTION_REFUSED - 不是端口被占用：用
netstat -ano | findstr :8080查不到进程，说明绑定失败而非冲突 - 仅影响Windows：macOS/Linux的iptables/nftables默认不限制lo接口；Windows Defender防火墙对回环流量有独立规则
- 临时验证方法：以管理员身份运行
cmd，执行netsh advfirewall set allprofiles state off后重试——若恢复访问，即确认是防火墙问题
如何为Java进程添加防火墙入站规则（Windows）
不能只放行端口，必须指定具体可执行文件路径，否则规则无效。Java启动实际调用的是 java.exe，但不同JDK安装路径不同，且IDE（如IntelliJ）可能使用内置JRE，需分别处理。
- 找到你的JDK中
java.exe绝对路径，例如：C:\Program Files\Java\jdk-17.0.1\bin\java.exe - 以管理员身份打开PowerShell，运行以下命令（替换为你的实际路径）：
netsh advfirewall firewall add rule name="Java App" dir=in action=allow program="C:\Program Files\Java\jdk-17.0.1\bin\java.exe" enable=yes profile=private
- 若用IDE调试，还需添加IDE自身JRE路径，如IntelliJ默认JRE在
C:\Users\{user}\AppData\Local\JetBrains\Toolbox\apps\IDEA-C\ch-0\bin\jetbrains-jdk\bin\java.exe - 避免使用“放行端口”方式（如
port=8080），因为多个Java进程共用同一端口时规则会冲突，且无法区分可信/不可信JAR
防火墙对RMI、JMX、远程调试端口的影响更隐蔽
开发阶段常启用 -Dcom.sun.management.jmxremote 或 -agentlib:jdwp，这些功能默认监听 0.0.0.0（所有网卡），即使你只打算本机调试，防火墙也会将其视为外部暴露服务而阻止。
- JMX连接超时常见原因：
java.lang.SecurityException: Authentication failed! Invalid username or password.实际是防火墙先拦掉了TCP握手，JMX服务根本没收到请求 - 远程调试失败（IDE连不上）：检查是否用了
-agentlib:jdwp=transport=dt_socket,server=y,suspend=n,address=*:5005——其中address=*:5005表示监听所有接口，必须在防火墙中放行该端口或改用127.0.0.1:5005 - Spring Boot Actuator的
/actuator/jolokia或/actuator/prometheus若配置了management.endpoints.web.exposure.include=*且未限定IP，同样会被拦截
Linux/macOS下仍需留意firewalld或ufw对loopback的异常策略
虽然绝大多数情况下lo接口不受限，但某些企业定制镜像或安全加固脚本会显式限制回环流量。排查时别直接跳过。
立即学习“Java免费学习笔记（深入）”；
- Linux上检查：
sudo firewall-cmd --list-all | grep "127.0.0.1"或sudo ufw status verbose，确认lo接口状态为 active 且策略为 allow - macOS上，
socketfilterfw工具可能被启用：sudo /usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate，若返回 enabled，需手动放行java：sudo /usr/libexec/ApplicationFirewall/socketfilterfw --add /usr/bin/java - Docker容器内运行Java应用时，宿主机防火墙不影响容器端口映射，但容器内部若启用了iptables规则（如OpenShift环境），仍可能拦截
127.0.0.1:8080
