String.format()不抛受检异常但会抛IllegalFormatException等运行时异常，规避需源头控制：校验格式串、匹配参数类型、用MessageFormat等安全替代方案，并在CI中自动化扫描。
Java 中 String.format()（或 Formatter）本身不会抛出受检异常，但它会抛出若干 非受检运行时异常（RuntimeException 及其子类），最常见的是：
-
IllegalFormatException—— 格式字符串语法错误、参数类型不匹配、占位符数量/顺序/类型与参数不一致 -
NullPointerException—— 当传入null作为格式字符串（format方法第一个参数）时（JDK 17+ 已改为抛NullPointerException；早期版本可能静默处理或行为不一） -
MissingFormatArgumentException、TooManyArgumentsException、FormatFlagsConversionMismatchException等（均为IllegalFormatException的子类）
这些异常无法在编译期捕获，一旦触发即导致程序崩溃。要真正规避，需从源头控制 + 防御性实践入手，而非依赖 try-catch（那只是兜底，不是规避）。
严格校验格式字符串的合法性与稳定性
硬编码格式字符串最安全，但若需动态拼接（如多语言、用户配置），必须做静态/运行时双重约束：
- 禁止直接拼接用户输入到格式串中（如
"Hello, " + name + "!"不是 format 场景，但"%s, " + userInput + "!"是高危） - 对动态格式串做白名单校验：只允许含标准转换符（
%d,%s,%f）、标志（-,0）、宽度/精度（%10.2f）及字面量，拒绝%n（平台换行符，可能被滥用）、%t（日期，易错）、%<（相对索引，难维护）等复杂特性 - 使用正则预检（示例）：
formatStr.matches("%(?:\d+\$)?[-#+ 0,(]*\d*(?:\.\d+)?[dfiouxXeEgGhsScC%]+.*")（仅作基础过滤，不替代语义校验）
确保参数类型与占位符严格匹配
编译器无法检查 String.format("%d", "abc")，但可通过以下方式提前暴露问题：
立即学习“Java免费学习笔记（深入）”；
- 用 IDE 插件（如 IntelliJ 的 “String manipulation” 或 “Error Prone”）启用 format 检查，标红不匹配调用
- 在单元测试中覆盖所有 format 调用点，传入边界/错误类型参数，验证是否抛异常（主动触发比线上崩溃好）
- 封装安全 wrapper（轻量级）：
// 示例：仅支持 %s / %d / %f 且参数数固定
public static String safeFormat(String pattern, Object... args) {
if (pattern == null) throw new IllegalArgumentException("format string is null");
int count = countPlaceholders(pattern); // 自定义方法统计 % 后跟合法转换符
if (count != args.length) throw new IllegalArgumentException(...);
return String.format(pattern, args);
}
用类型安全替代方案彻底绕过 format 风险
若业务允许，优先选用无格式异常风险的替代方案：
-
文本模板引擎：如
MessageFormat（支持位置索引，类型宽松，失败返回空串或默认值，不抛异常）或java.text.MessageFormat.format("At {0,date} on {0,time}, there was {1} on {2}.", cal, event, location) -
构建器模式：对固定结构日志/消息，用
StringBuilder或StringJoiner显式拼接（new StringBuilder().append("User ").append(id).append(" logged in at ").append(time).toString()） -
Lombok @ExtensionMethod 或自定义扩展方法（Java 14+ 可用
sealed+ 模式匹配模拟类型安全插值，但成本较高）
上线前强制执行 format 字符串的自动化扫描
将风险拦截在发布前：
- 用
javap -c或字节码分析工具提取 class 中所有String.format调用点，结合源码映射生成报告 - 在 CI 流程中集成
error-prone（Google 开源 Java 注解处理器），启用FormatString、FormatStringAnnotation等检查器，直接阻断不合规调用 - 对国际化资源文件（
.properties）中的 format 字符串，用脚本校验每行是否满足%[0-9]*$?[diouxXeEfgGhsScC%]模式且参数数可推断
不复杂但容易忽略：真正的规避不是“怎么 catch”，而是让非法调用根本无法编译或无法进入生产环境。
