Java反射机制的核心是Class对象，通过Class.forName、obj.getClass()、User.class三种方式获取；Field/Method/Constructor各有能力边界与陷阱；广泛用于Spring、MyBatis等框架实现解耦；存在性能损耗与安全风险，需用缓存、MethodHandle或ASM优化。
Java反射机制不是靠“背概念”就能答全的，关键在于把底层逻辑、使用路径、真实约束和工程权衡串成一条线。下面从四个不可绕开的维度展开，每个点都直击面试官想听的深度。
一、Class对象：反射一切操作的唯一入口
反射不是凭空操作类，而是通过JVM在类加载后生成的唯一Class对象来完成的。这个对象就像类的“数字档案”，存着类名、父类、接口、所有字段、方法、构造器、注解、修饰符等全部元数据。没有它，后续任何反射动作都无法启动。
获取方式必须说全三种，且要讲清差异：
- Class.forName("com.example.User")：触发类的初始化（执行static块），适用于配置驱动场景，比如Spring读取XML中bean的class属性
- obj.getClass()：不触发初始化，仅适用于已有实例时动态探查类型，常用于泛型擦除后的运行时类型还原
- User.class：最轻量，编译期就确定，不触发加载也不触发初始化，适合硬编码场景，性能最优
二、核心API三件套：Field / Method / Constructor 的真实能力边界
它们不是“万能工具”，各自有明确职责和典型陷阱：
立即学习“Java免费学习笔记（深入）”；
- Field：能读写任意访问权限的字段（包括private），但修改static final字段需先用setAccessible(true)，再用unsafe绕过final语义——这点常被忽略，也是面试加分项
- Method：可调用private、static、default甚至桥接方法；注意invoke()第一个参数为null时仅适用于static方法，否则抛IllegalArgumentException
- Constructor：getDeclaredConstructor()才能拿到private构造器；newInstance()在Java9+已被弃用，必须用constructor.newInstance()替代
三、框架级应用：不是炫技，而是解决编译期无法绑定的刚需
只谈“动态创建对象”太浅。要指出反射是框架实现解耦的基础设施：
- Spring IoC：BeanDefinition里存的是类名字符串，真正实例化靠Class.forName + 构造器反射 + setter/inject反射注入
- MyBatis：Mapper接口无实现类，JDK动态代理生成Proxy对象，实际执行SQL后，用反射将ResultSet字段映射到实体类private字段
- Jackson/Gson：反序列化时根据JSON key匹配Java字段名，靠反射跳过getter直接set private属性，大幅提升性能且规避封装限制
四、性能与安全：不能回避的代价和应对策略
反射慢不是玄学，是实打实的JVM机制导致：
- 每次invoke()都要做访问检查、参数类型校验、栈帧创建，比直接调用慢3–5倍；连续调用10万次，差距可达毫秒级
- 绕过访问控制破坏封装性，可能引发SecurityManager拦截（尤其在沙箱环境）
- 真实优化手段不止是“缓存Method对象”：应配合MethodHandle（Java7引入）或VarHandle（Java9+）做进一步提速；高频场景如JSON序列化，主流库已默认用ASM生成字节码替代反射
