Java类加载器不直接验证权限，真正执行校验的是SecurityManager（JDK 17+已移除）或AccessController；其通过调用栈识别代码来源的ProtectionDomain，并依据策略文件授予codeBase权限。
Java 类加载器本身不直接“验证权限”，真正执行权限校验的是 SecurityManager（如果启用）或更现代的 AccessController 机制。自定义类加载器与 SecurityManager 的协作，关键在于：类加载过程中的敏感操作（如包访问、类定义、资源读取）会触发 SecurityManager 的对应 check 方法；而自定义类加载器若想参与这套控制，需主动调用这些检查，或确保其行为落在 SecurityManager 的监控路径内。
自定义类加载器如何触发 SecurityManager 权限检查
SecurityManager 不是类加载器的成员，而是 JVM 全局安全策略执行器。当你的自定义类加载器执行以下典型操作时，JVM 会自动调用 SecurityManager 的相应方法：
-
调用
defineClass：JVM 会触发checkPackageDefinition(String pkg)，防止恶意代码定义系统包（如java.lang.*） -
调用
findResource或getResourceAsStream：可能触发checkPermission(new FilePermission(..., "read"))（若资源路径是文件系统路径） -
调用
loadClass并最终委托给父加载器或自己定义类时：若涉及跨包访问或反射调用，后续运行时可能触发checkPackageAccess(String pkg)或checkPermission(new ReflectPermission("suppressAccessChecks"))
自定义类加载器中显式调用 SecurityManager 做权限控制
你可以在自定义类加载器的关键逻辑里主动插入安全检查，增强可控性。例如：
- 在
findClass中，读取 class 文件前检查文件路径权限：System.getSecurityManager().checkRead(classFilePath); - 在
loadClass开头，禁止加载特定包名：if (name.startsWith("com.untrusted.")) { throw new SecurityException("Blocked package"); }（注意：这属于业务逻辑拦截，不是 SecurityManager 标准检查） - 重写
checkPackageAccess—— 实际上这是 SecurityManager 的方法，不是类加载器的。但你可以写一个自定义MySecurityManager，重写它，并在其中根据类加载器来源（如getClassLoader()）做差异化判断
SecurityManager 如何识别类加载器上下文
SecurityManager 本身不持有类加载器引用，但它通过 调用栈 判断权限归属。当你的自定义类加载器调用 defineClass 时，JVM 会把当前线程栈帧里的类（即你的加载器类）作为“发起者”，AccessController 沿着栈向上检查每一层代码所属的 ProtectionDomain 是否被授予了对应权限（比如 RuntimePermission("defineClass")）。这意味着：
立即学习“Java免费学习笔记（深入）”；
- 权限授予对象是“代码来源”（
CodeSource），而非类加载器实例本身 - 策略文件中
grant codeBase "file:/myapp/lib/" { permission java.lang.RuntimePermission "defineClass"; };才会让从该路径加载的类获得定义新类的权限 - 即使你写了自定义类加载器，只要它加载的类来自未授权的 codeBase，
defineClass仍会被 SecurityManager 拦截
Java 17+ 中的实际注意事项
SecurityManager 自 Java 17 起已被彻底移除，所有相关 API（包括 checkPackageAccess、checkPermission）已删除。因此：
- 如果你的目标 JDK 是 17 或更高版本，无法再使用 SecurityManager 验证权限
- 替代方案包括：使用模块系统（JPMS）的
opens/exports控制包可见性；用 JVM 启动参数限制文件/网络访问（如-Djava.security.manager=allow已无效）；借助字节码检测工具（如 Byte Buddy）或外部策略引擎实现运行时控制 - 遗留系统若仍依赖 SecurityManager，升级前必须重构权限模型，不能仅靠“启用 manager”来兜底
