@Target 注解通过强制编译期校验注解使用位置，从源头防止误标错标，是框架级安全机制落地的前提保障；它精准限定作用域、支撑泛型与类型级安全校验，并决定 AOP 与框架拦截器是否生效，需配合 @Retention 控制校验时机。
@Target 注解本身不执行安全检查，但它通过强制编译期校验注解使用位置，从源头防止误标、错标，是框架级安全机制落地的前提保障。
精准限定作用域，杜绝注解滥用
安全相关注解一旦被错误标注，可能完全绕过校验逻辑，导致权限失控或参数绕过。@Target 就是第一道防线：
- 权限类注解（如 @RequireRole）应明确限定为 @Target({ElementType.METHOD, ElementType.TYPE})，确保只作用于控制器方法或整个类，而不会被加在 private 字段上失效
- 参数校验注解（如 @NotBlank）若支持构造器注入，必须包含 ElementType.CONSTRUCTOR 和 ElementType.PARAMETER，否则无法拦截恶意构造参数
- 不声明 @Target 等价于允许出现在任意位置，对安全敏感注解属于高危默认行为，必须显式约束
支撑泛型与类型级安全校验
现代 API 安全需覆盖更细粒度场景，比如敏感字段嵌套在泛型中、不可信类型参数传入等。这依赖 Java 8 新增的两类 ElementType：
-
TYPE_USE：支持标注在
List<@Sensitive String>或new @Immutable User()<>中，配合 Checker Framework 可在编译期拦截含敏感数据的类型使用 -
TYPE_PARAMETER：用于
class Service<@NotNull T>，约束泛型实参非空，避免运行时 NPE 成为攻击入口 - 二者需显式列出，不包含在 METHOD 或 TYPE 中；JDK 7 及以下版本不支持，编译会直接报错
决定 AOP 与框架拦截器是否生效
Spring Security、自定义限流、审计日志等切面逻辑能否触发，取决于注解是否出现在框架能识别的位置：
- @RateLimit 若只声明 @Target(ElementType.METHOD)，就无法用于类级别限流，需补充 ElementType.TYPE
- @Value 支持 FIELD/METHOD/PARAMETER，正是为了覆盖属性注入、Setter 注入、构造器注入三类安全上下文
- 框架通过反射读取注解时，依赖 @Target + @Retention(RetentionPolicy.RUNTIME) 组合，缺一不可
配合 @Retention 控制校验时机
安全性不仅取决于“能标在哪”，更取决于“标了有没有效”：
- @Retention(RetentionPolicy.SOURCE)：仅编译期提示，适合语法辅助类注解（如 @Override），无运行时开销
- @Retention(RetentionPolicy.CLASS)：写入 class 文件，供 PMD、FindBugs 等静态分析工具扫描潜在风险
- @Retention(RetentionPolicy.RUNTIME)：反射可读，是 Spring AOP、Hibernate Validator 等框架做动态安全校验的必要条件
