实例初始化块或私有基构造函数才是实例字段统一加密的正确入口；static {} 仅执行一次且无法访问实例成员，不适用于对象粒度加密。
构造代码块本身不能直接用于实例字段的统一加密处理——Java 中没有“构造代码块”这个语法概念；你实际想用的，是 实例初始化块（即 `{ ... }` 写在类中、方法外的非静态代码块），或更可靠、更可控的 私有基构造函数。它们才是对每个对象做统一预处理（如字段加密准备、安全校验、敏感值封装）的正确入口。
为什么不能用 static {} 做实例加密？
静态代码块只执行一次，面向的是类，不是对象。它无法访问 this、不能操作实例字段、也不能调用实例方法。即使你在里面生成密钥或初始化加密器，也无法绑定到某个具体对象上——加密必须是实例粒度的（比如每个 User 对象用自己的盐值加密密码字段），否则就失去隔离性和安全性。
- 静态块适合加载全局密钥管理器、初始化
AES加解密工具类、读取加密配置等「一次初始化、多处复用」的事 - 但绝不适合：给
private String password;字段赋值前自动加密、为id字段注入防篡改签名、或对输入参数做运行时脱敏
推荐方案：用私有基构造函数统一接管初始化
把所有公共构造函数共用的加密逻辑（如字段预处理、敏感值包装、初始密文生成）收拢到一个 私有构造函数 中，并强制其他构造函数以 this(...) 第一行调用它。这是 Java 中最稳定、最易审计、且完全避免重复的实例级统一处理方式。
- 确保每次 new 对象，都走同一套安全初始化流程，不遗漏、不绕过
- 可在其中调用
encryptField(...)工具方法，对指定字段做 AES 加密、Base64 编码、加盐哈希等处理 - 避免在构造函数中调用可被子类重写的方法（防止 this 引用逸出导致 NPE 或未初始化状态暴露）
示例：
public class User {
private final String encryptedPassword; // 不暴露明文
private final String id;
// ✅ 私有基构造：所有对象必经之路
private User(String rawPassword, String name) {
this.id = UUID.randomUUID().toString();
this.encryptedPassword = AesUtil.encrypt(rawPassword, generateSaltFor(this.id));
}
public User(String rawPassword) {
this(rawPassword, null); // 调用基构造
}
public User(String rawPassword, String name) {
this(rawPassword, name); // 同样调用基构造
}
}
进阶：配合自定义字段处理器实现动态加密
若需支持「运行时配置哪些字段加密」（如后台开关控制 phone、email 是否加密），不要硬编码在构造函数里。应结合 MyBatis-Plus 的 BaseTypeHandler 或 Spring 的 @Convert，在持久化层自动加解密：
- 数据库存的是密文，内存中用的是明文（由 TypeHandler 在 setParameter / getResult 时自动转换）
- 加密开关存在 Redis 或配置中心，
encrypt()方法启动时查一次缓存，避免每次调用都查 DB - 密钥不硬编码，从 KMS 或环境变量注入，且每个字段可配独立密钥策略
这样既满足灵活配置，又不破坏对象构造逻辑的简洁性与安全性。
关键安全提醒
统一加密 ≠ 安全闭环。还需同步做到：
- 字段声明为
final或仅提供加密后 getter，禁止外部直接修改原始值 - 敏感字段（如 token、密钥）不参与
toString()、log.debug()，避免日志泄露 - 序列化时重写
writeObject()，跳过明文字段，或对序列化流整体加密 - IDE 和构建产物（jar/class）也要纳入透明加密管控，防止编译后字节码被反编译还原
