SecurityManager 会阻止 private 反射访问，因其在 setAccessible(true) 或执行 private 成员访问前检查 ReflectPermission("suppressAccessChecks")，该权限默认未授予，缺失则抛出 AccessControlException。

在 Java 中，当启用 SecurityManager 时，通过反射访问 private 成员（如字段、方法、构造器）会触发安全检查，若未被策略允许，将抛出 AccessControlException。这不是反射本身失败，而是安全管理器主动拦截所致。

为什么 SecurityManager 会阻止 private 反射访问

SecurityManager 在调用 setAccessible(true) 或首次尝试访问 private 成员时，会检查 ReflectPermission("suppressAccessChecks")。该权限默认不授予，即使类属于系统类或当前代码在特权上下文中运行，也需显式授权。

• 调用 field.setAccessible(true) 会触发 checkPermission(new ReflectPermission("suppressAccessChecks"))
• 即使未显式调用 setAccessible，JVM 在执行 private 成员访问（如 method.invoke(obj)）前也会做相同检查
• 策略文件中缺失该权限，或使用了空策略（-Djava.security.manager -Djava.security.policy=），都会导致拒绝

如何定位是否是 SecurityManager 导致的异常

观察异常堆栈：若顶层异常为 java.security.AccessControlException，且消息含 access denied ("java.lang.reflect.ReflectPermission" "suppressAccessChecks")，即可确认。

Java Maven Common

Java Maven 项目审查工作流的通用输入处理。当 Java Maven 项目以 ZIP压缩包或 GitLab 仓库 URL 形式提供且需要...时使用。

下载

• 检查 JVM 启动参数是否包含 -Djava.security.manager 或 -Djava.security.policy
• 运行时可通过 System.getSecurityManager() 判断是否启用
• 注意某些容器（如旧版 Tomcat、WebLogic）或测试框架（如某些 JUnit 模式）可能默认启用 SecurityManager

修复方案：授予权限或绕过检查

推荐优先通过策略配置授权，而非移除 SecurityManager（除非明确不需要安全沙箱）。

立即学习“Java免费学习笔记（深入）”；

• 在 policy 文件中添加：
  grant {
    permission java.lang.reflect.ReflectPermission "suppressAccessChecks";
  };
• 若仅需对特定代码段临时放宽，可用 AccessController.doPrivileged 包裹反射操作：

• AccessController.doPrivileged((PrivilegedAction<Void>) () -> {
      field.setAccessible(true);
      field.set(obj, value);
      return null;
  });

• Java 9+ 中，SecurityManager 已被标记为 @Deprecated(forRemoval = true)，新项目建议迁移到模块系统或其它沙箱机制（如 JVM sandbox、自定义 ClassLoader 隔离）

兼容性与替代建议

直接依赖 SecurityManager 的反射控制已不具长期可行性。现代实践更倾向：

• 使用 --add-opens JVM 参数开放模块包（如 --add-opens java.base/java.lang=ALL-UNNAMED），适用于模块化环境下的反射需求
• 避免运行时修改 private 成员，改用公开 API、构造器注入或 setter 方法
• 测试场景中，可通过 -Djava.security.manager=（空值）禁用，或使用 SecurityManager 子类白名单机制进行细粒度控制