反射读取注解本身安全，风险在于后续动作；需校验来源可信、限制类加载与方法调用、禁用危险反射链、启用安全管理器并沙箱化表达式求值。
反射读取注解值本身不执行代码，但若与不受控的类加载、方法调用或表达式解析联动，就可能成为非法代码执行的跳板。关键不在“读取”，而在“后续动作”——比如根据注解值动态加载类、调用方法、拼接脚本或触发el表达式求值。
严格校验注解来源与目标元素
只允许从明确可信的类、方法、字段上读取注解，禁止处理来自用户上传字节码、动态生成类（如ASM/CGLIB临时类）或不可信JAR中的注解。
- 检查目标Class是否在白名单包路径下（如
com.mycompany.api.*），拒绝sun.*、jdk.internal.*或未知第三方包 - 对
getAnnotation()返回结果做非空+类型双重校验，避免被伪造注解代理（如通过Proxy.newProxyInstance构造恶意InvocationHandler） - 若使用
getDeclaredAnnotations()，需额外过滤掉@Deprecated、@SuppressWarnings等无关元注解，防止干扰判断逻辑
禁用危险反射操作链
注解属性值只是字符串、Class数组或枚举等常量，一旦将其用于Class.forName()、Method.invoke()或Constructor.newInstance()，风险立即升级。
- 禁止将
@ApiEndpoint.allowedRoles()这类Class数组直接传给ClassLoader.loadClass()；应预注册合法角色类，仅做名称比对 - 避免在注解中存储可执行逻辑标识（如
scriptType = "groovy"+scriptPath = "/tmp/mal.sh"），这类设计本质是开放命令注入入口 - 若必须支持扩展点，改用SPI机制或显式工厂注册表，而非靠反射“猜”要调什么
启用安全管理器并限制反射权限
在JVM启动参数中启用-Djava.security.manager，配合自定义SecurityManager策略文件，精准约束反射行为。
- 撤销
RuntimePermission("accessDeclaredMembers")，阻止setAccessible(true)绕过封装 - 限制
ReflectPermission("suppressAccessChecks")仅授予核心框架模块（如Spring、Hibernate），业务代码无权获取 - 对
java.lang.Class的forName和getClassLoader调用添加堆栈追踪，拦截来自非预期包的类加载请求
注解值预处理与沙箱化求值
当注解含表达式（如@ConditionalOnProperty(spel = "system.properties['env'] == 'prod'")），必须在受限上下文中求值，而非直接交给标准SpEL解析器。
- 使用
StandardEvaluationContext时，禁用setBeanResolver和setConstructorResolvers，防止对象创建逃逸 - 为SpEL配置白名单函数（如
isNotBlank、toLowerCase），禁用new、T()、#context等高危操作 - 敏感注解（如权限、路由路径）的值应强制小写、去空格、正则校验（如
path()匹配^/[a-z0-9/_]+$），拒绝含..、$、{等字符的输入
