自定义类加载器实现加密解密的核心是继承ClassLoader并重写findClass方法，在双亲委派失败后读取加密字节流、解密并调用defineClass加载；需提前加密class文件、安全传入密钥、绕过双亲委派、确保解密后字节码合规且异常明确。
Java 类加载过程中自定义类加载器实现加密解密，核心在于重写 findClass（或 loadClass）方法，在字节码加载前进行解密、加载后可选加密，关键点是避开双亲委派机制对原始字节流的干扰，并确保解密逻辑安全可靠。
继承 ClassLoader 并重写 findClass
不要直接覆盖 loadClass，而是继承 ClassLoader，重写 findClass(String name) 方法。该方法在双亲委派失败后被调用，适合插入自定义逻辑。
- 根据类名转换为 .class 资源路径（如
name.replace('.', '/') + ".class"） - 用
getResourceAsStream或文件 I/O 读取加密后的字节流 - 对字节数组执行解密（如 AES/DES/异或等），得到原始字节码
- 调用
defineClass(name, bytes, 0, bytes.length)完成加载
加密 class 文件再部署
编译生成的 .class 文件需提前加密，否则运行时无数据可解。推荐构建时处理：
- 用标准加密算法（如 AES-128-CBC）加密每个 class 文件，保存为
xxx.class.enc - 避免硬编码密钥：可通过环境变量、配置文件（加密存储）、或启动参数传入密钥/密钥派生因子
- 确保加密不破坏字节码结构——只加密内容，不修改文件头或长度；解密后字节数必须与原始 class 一致
绕过双亲委派加载加密类
默认双亲委派会优先委托给 Bootstrap/Extension/App ClassLoader，它们无法识别加密格式。需显式使用自定义加载器实例加载目标类：
立即学习“Java免费学习笔记（深入）”；
- 禁止调用
super.loadClass()（除非你主动委派并处理异常） - 直接在
findClass中完成全部流程：读取 → 解密 → defineClass - 示例：
MySecureClassLoader loader = new MySecureClassLoader(); Class> cls = loader.loadClass("com.example.SecretService");
注意类隔离与安全性边界
自定义类加载器加载的类，默认与系统类加载器隔离，不能直接访问应用类路径下的未加密类（除非显式委托或共享父加载器）：
- 若需访问 Spring/Log4j 等第三方类，可在构造时传入当前线程上下文类加载器作为 parent
- 敏感解密逻辑（如密钥调度、算法实现）建议放在 native 库或混淆加固，避免反编译泄露
- JVM 不校验自定义加载器加载的字节码签名，但
defineClass会触发验证；确保解密后字节码符合 JVM 规范，否则抛VerifyError
NoClassDefFoundError 或 ClassNotFoundException，而非静默吞掉异常，否则调试极困难。 
