Java数组安全性依赖规范：声明必须用int[] arr形式，已知元素用{}静态初始化，只知长度用new动态初始化，JVM强制校验边界与默认初始化。
Java 数组的安全性不靠经验，靠规范。声明和初始化阶段就嵌入了编译检查、运行时校验与内存自动管理三层保障，关键在于写法合规、意图清晰、避免悬空。
声明必须用 int[] arr 形式
这是语义安全的第一道门槛。int[] arr 明确表达“arr 是一个 int 类型的数组”，而 int arr[] 容易误读为“arr 是 int 类型，加了 [] 修饰”，尤其在多维场景下（如 int[][] vs int[] arr[]）极易引发理解偏差和维护风险。所有标准库、主流框架及 Google Java Style 都强制推荐前者。
- 正确写法：String[] names、byte[][] data、Car[] fleet
- 应避免：String names[]、byte data[][]、int arr[]
初始化必须区分场景选方式
不同初始化方式对应不同安全侧重点，不是“能用就行”，而是“该用哪个”：
- 已知全部元素 → 用 { } 静态初始化：如 int[] codes = {200, 401, 404, 500};。编译期确定长度与内容，无越界隐患，也杜绝 new int[4] 后漏赋值的问题。
- 只知长度、内容待填 → 用 new 动态初始化：如 byte[] buffer = new byte[8192]; 或 User[] users = new User[100];。JVM 自动填充默认值（基本类型为 0/false，引用类型为 null），无需手动循环赋初值。
- 临时传参 → 用匿名数组：如 process(new String[]{"start", "stop"});。生命周期短、不命名、不复用，规避状态污染。
内存与访问校验由 JVM 强制执行
Java 不依赖程序员手动检查，所有关键校验均由平台接管：
立即学习“Java免费学习笔记（深入）”；
- 数组对象创建后，length 属性固定不可变，不存在动态扩容导致的索引错位或逻辑断裂；
- 每次通过 arr[i] 访问时，JVM 运行时自动校验 i ∈ [0, length)，越界立即抛 ArrayIndexOutOfBoundsException，不会静默覆盖相邻内存；
- 堆中元素连续分配且自动初始化：int[] 元素全为 0，boolean[] 全为 false，String[] 元素全为 null —— 不存在未定义值；
- 声明仅在栈中创建引用变量，默认值为 null；若未初始化就调用 arr.length 或 arr[0]，运行时直接抛 NullPointerException，而非静默失败。
引用数组使用前务必判空
这是最常被忽略的人为风险点。new String[3] 创建的是含三个 null 的数组，不代表每个元素都已实例化：
- 错误示范：String[] logs = new String[3]; logs[0].length(); // NullPointerException
- 安全做法：显式赋值或访问前判空，例如 if (logs[0] != null) { ... }，或统一初始化 Arrays.fill(logs, "");
- 循环遍历时优先用增强 for 或明确控制边界（for (int i = 0; i < logs.length; i++)），避免硬编码长度引发越界。
