构造代码块适合在对象创建时统一脱敏敏感字段，早于构造器执行，确保实例化前字段已规范化；它不适用于final字段，不能替代业务校验，需配合不可变设计或反序列化回调以保障全程安全。
构造代码块（Instance Initializer Block）在 Java 中会在每次创建对象时执行，且早于任何构造器体内的代码。它适合放置那些多个构造器共用的初始化逻辑——比如对敏感字段做统一脱敏处理。关键在于：它不能替代业务校验或外部输入过滤，而是作为对象构建阶段的“兜底清洗层”，确保敏感字段在实例化完成前已被规范化。
为什么选构造代码块而不是其他方式
相比在每个构造器里重复写脱敏逻辑，构造代码块天然满足“一次编写、多处生效”；相比 setter 或 builder 模式，它不依赖调用方是否主动设置字段，只要字段被赋值（包括反射、JSON 反序列化等场景），就能在对象真正可用前介入处理。但它不适用于 final 字段，也不能访问 this 以外的上下文（如 Spring 容器）。
实战中如何安全脱敏敏感字段
构造代码块内应聚焦“字段级轻量清洗”，避免复杂计算或 I/O。常见做法是调用静态工具方法，对手机号、身份证号、邮箱等字段做格式化掩码：
- 对 String 类型字段，先判空再脱敏，避免 NPE
- 手机号可转为 “138****5678” 格式，保留前后各 3 位和 4 位
- 身份证号建议保留前 6 位 + 后 4 位，中间用 * 替换（注意长度校验）
- 邮箱可保留用户名首尾字符和域名，如 “u***@example.com”
结合 Lombok 与自定义工具类的推荐写法
若项目已用 Lombok 的 @Data 或 @Builder，构造代码块仍可共存。只需在类中显式声明代码块，并委托给脱敏工具类：
public class User {private String phone;
private String idCard;
private String email;
{
// 构造代码块：统一脱敏
if (phone != null) phone = Desensitize.mobile(phone);
if (idCard != null) idCard = Desensitize.idCard(idCard);
if (email != null) email = Desensitize.email(email);
}
}
其中 Desensitize 是你封装的无状态工具类，内部使用正则或字符串操作实现，不依赖外部配置，保证构造过程稳定可靠。
注意事项与边界情况
构造代码块无法拦截后续对字段的修改（如 setter 调用），因此它只保障“初始态安全”。若需全程防护，应配合不可变设计（如用 record）、防御性拷贝或字段封装。另外，JSON 反序列化框架（如 Jackson）默认跳过构造代码块，需配合 @JsonCreator 或反序列化后手动触发脱敏（如实现 AfterDeserializationCallback 接口）。
