Collections.checkedCollection不能用于JSON解析过程，但可在解析后立即包装原始集合，通过add/addAll等写操作时的Class.isInstance()校验实现运行时兜底防护，防止非法类型元素注入，不检查已有元素、null值或反射修改。
Java 中 Collections.checkedCollection 不能直接用于 JSON 解析过程本身，但它能在解析后、数据落地前，为“未指定泛型类型”的集合提供关键的运行时兜底防护。
为什么 JSON 解析常丢失泛型信息
Jackson、Gson 等主流 JSON 库在反序列化集合时，若未显式传入 TypeReference 或 ClassList 或 Set），内部元素类型完全由 JSON 字段值决定，运行时无泛型约束。例如：
-
ObjectMapper.readValue(json, List.class)→ 返回List<Object>，但实际可能混入 String、Integer、Map 等 - 从
Map<String, Object>提取字段再转成 list，也极易带入类型不一致数据 - 泛型擦除导致
List<User>在运行时等价于List，无法阻止非法对象写入
checkedCollection 的正确介入时机
它不参与解析，而是在解析完成、拿到原始集合后立即包装——把“信任解析结果”变成“验证并约束后续操作”：
- ✅ 正确做法：先用 Jackson 解析成
ArrayList<?>或List<Object>，再用Collections.checkedList(new ArrayList<>(), User.class)包装，然后批量addAll()解析结果 - ✅ 批量校验：调用
safeList.addAll(parsedRawList)时，每个元素都会被User.class.isInstance()检查，非法项当场失败 - ❌ 错误做法：对已含 Integer 和 String 的原始 list 直接包装，
checkedList不扫描已有内容，首次get()强转时仍会崩溃
搭配 JSON 解析使用的实用模式
推荐组合使用，兼顾简洁与安全：
立即学习“Java免费学习笔记（深入）”；
- 优先用
TypeReference：如mapper.readValue(json, new TypeReference<List<User>>(){})，这是编译+运行双重保障，checkedCollection作为后备 - 解析后清洗再包装：对不确定来源的 JSON，先用 stream 过滤合法类型，再塞进 checked 集合：
List<User> safe = Collections.checkedList(new ArrayList<>(), User.class);<br> rawList.stream().filter(User.class::isInstance).forEach(safe::add);
- 封装工具方法：避免重复写包装逻辑，例如
public static <T> List<T> safeList(List<?> raw, Class<T> type) {<br> return Collections.checkedList(new ArrayList<>(), type);<br> }，再配合addAll使用
它防不住什么，你得知道
checkedCollection 是轻量级运行时护栏，不是银弹：
- 不拦截反射修改：如果解析后有人用反射往底层集合 add 一个
String，检查完全失效 - 不处理 null：
User.class.isInstance(null)返回 false，但checkedList默认允许 null 插入（除非你额外加判空逻辑） - 不替代不可变设计：线上关键数据建议用
List.copyOf()（Java 10+）或 GuavaImmutableList，构建即冻结，比运行时检查更彻底
