结论：截取用substring()、替换优先用replace()；但需严防边界越界（如substring(0,10)应写为substring(0,Math.min(10,str.length()))）、正则陷阱（replaceAll首参是正则，replace才是字面量）、不可变性（所有操作均返回新字符串，须赋值接收）。

直接说结论：截取用 substring()，替换优先用 replace()；但边界越界、正则陷阱、不可变性这三点不处理好，结果就错得莫名其妙。

为什么 substring(0, N) 容易抛 IndexOutOfBoundsException

因为 substring(begin, end) 要求 begin ≥ 0 且 end ≤ str.length()，而用户输入或 JSON 字段长度往往不可控。

• 错误写法：str.substring(0, 10) —— 当 str 只有 3 个字符时直接崩溃
• 安全写法：str.substring(0, Math.min(10, str.length()))
• 注意：end 是“不包含”的索引，"abc".substring(1, 2) 得到的是 "b"，不是 "bc"
• 空字符串或 null 必须提前判空，substring() 不做空值防护

replace() 和 replaceAll() 的行为根本不同

它们连参数语义都不一样，混用会导致替换了不该替的、或完全没反应。

• replace(CharSequence target, CharSequence replacement)：纯字面量替换，"a.b.c".replace(".", "-") → "a-b-c"
• replaceAll(String regex, String replacement)：第一个参数是正则，"a.b.c".replaceAll(".", "-") → "-----"（因为 . 匹配任意字符）
• 想用正则又怕踩坑？先转义："a.b.c".replaceAll("\.", "-")
• 如果只是换固定子串，无脑选 replace()，它更快、更直白、不依赖 Pattern 编译

字符串不可变，所有操作都返回新对象

这是最常被忽略的前提——substring()、replace()、trim() 全都不修改原字符串，而是返回新实例。

• 典型错误：str.substring(0, 5); System.out.println(str); → 输出仍是原字符串
• 正确做法：必须赋值接收，str = str.substring(0, 5);
• 链式调用可行：str.trim().toLowerCase().replace(" ", "_")，但每一步都新建对象，高频场景注意 GC 压力
• 若需多次修改，考虑改用 StringBuilder，尤其在循环内拼接或反复替换时

边界检查、正则转义、对象不可变——这三个点不盯住，再简单的 substring 或 replace 都可能在线上吐出诡异结果。别依赖“看起来能跑”，要验证输入长度、确认参数类型、检查是否真的赋了值。