Java可通过自定义ClassLoader从网络加载类：重写findClass()获取远程字节码（如通过URL.openStream()），再调用defineClass()定义类；需绕过双亲委派、处理依赖与安全限制。
Java 类加载器本身不直接支持从网络加载字节码，但可以通过自定义 ClassLoader 实现从 URL 读取并定义类。核心是重写 findClass(String name)，配合 defineClass() 完成字节码的获取与转换。
获取远程字节码数据
需要先通过 HTTP 或其他协议下载 class 文件的原始字节。推荐使用 URL.openStream() 或现代方式如 HttpClient：
- 构造目标类对应的 URL（如
https://example.com/MyClass.class），注意路径需与类的全限定名匹配（如com.example.MyClass→/com/example/MyClass.class） - 读取响应流并转为
byte[]，建议设置超时和基本错误处理（如 404、IO 异常） - 避免硬编码 URL，可结合配置或参数动态生成
继承 ClassLoader 并重写 findClass
不能直接调用 loadClass()，因为默认实现会先委托父类加载器，而系统类加载器无法识别网络路径。必须在子类中拦截：
- 覆写
findClass(String name)，内部调用自定义方法获取字节码（例如loadBytecodeFromUrl(name)） - 拿到
byte[]后，调用defineClass(name, bytes, 0, bytes.length)返回Class对象 - 不要重写
loadClass()，除非需要改变双亲委派逻辑；通常只需覆盖findClass
注意类路径与依赖问题
网络加载的类可能依赖其他类，这些依赖不会自动从网络加载：
立即学习“Java免费学习笔记（深入）”；
- 若依赖本地已有的类（如 JDK 类或 classpath 中的库），由父加载器自然解决
- 若依赖也来自网络，需在
findClass中递归处理（例如解析ConstantPool提取依赖类名，再尝试加载），但易引发循环或版本冲突 - 建议保持被加载类“自包含”，或提前将依赖一并部署到同一服务端目录下
安全与实际限制
生产环境需谨慎对待远程类加载：
- JVM 默认禁止未签名的远程代码执行；若涉及敏感操作，应校验字节码来源（如 HTTPS + 证书验证）或签名比对
- 热更新场景下，旧类实例仍存在，需配合
ClassLoader隔离（每次新建加载器）和对象引用管理 - 调试时可用
java.lang.instrument或 Java Agent 替代，更可控
不复杂但容易忽略细节，关键在于绕过默认委派、可靠获取字节、正确调用 defineClass，并处理好依赖和生命周期。
