防止对象劫持的核心是切断所有篡改路径：通过final类声明、private final字段及所有操作返回新对象三重机制，确保String内容在传递、共享或跨模块调用中始终不可变，如数据库URL、权限校验字符串、类名等关键信息不会被意外或恶意修改。
防止对象劫持的核心是切断所有篡改路径
String 被劫持，通常指外部代码通过引用修改其内容，从而影响其他依赖该字符串的逻辑（比如把数据库 URL 改成恶意地址、把类名替换成攻击类）。Java 并非靠单一机制防劫持，而是用三重设计协同封死所有常见入口：
- final 类声明：禁止继承，杜绝子类添加可变方法（如 setCharAt 或覆盖 concat 行为）；
- private final 字段：内部 value 数组（JDK9+ 是 byte[]）不可见、不可重赋值，且构造时做防御性拷贝，即使你传入一个可变 char[]，String 也只复制一份，不共享底层数组；
- 所有操作返回新对象：replace、substring、toUpperCase 等方法均不修改原实例，而是新建字符串——调用方拿到的永远是“副本”，原始对象状态锁死。
关键场景下如何阻断劫持意图
劫持往往发生在参数传递、共享引用或跨模块协作中。不可变性让这些场景天然免疫：
- 传入 数据库连接串（如
"jdbc:mysql://localhost/test"）给连接池后，任何中间层调用url.replace("test", "admin")都只生成新字符串，原始 url 不会变； - 安全管理器校验权限时使用的
"setSecurityManager"这类字符串，若可变，攻击者可能在检查后、执行前篡改它——而实际中，这个字符串一旦创建就恒定； - 类加载器依据
"java.lang.Object"加载类，不可变确保委托链各环节看到的类名完全一致，无法被运行时动态污染。
不依赖开发者自觉，而是由语言机制强制保障
这不是靠文档提醒或 Code Review 来防劫持，而是 JVM 和标准库默认行为就排除了风险：
java-api-doc-generator
下载
分析 Java Spring Boot 后端 Controller 代码，自动生成 Markdown 格式的接口文档。当用户说“生成 Java 接口文档”、“生成 API 文档”、“从 Spring 代码生成文档”时触发。
- 没有 public setter、append、clear 等方法暴露修改能力；
- value() 方法是 package-private，且 JDK9+ 返回的是副本而非原始引用；
- 常量池复用（
s1 == s2）的前提正是内容绝对不变——如果允许劫持，共享就等于危险。
注意边界：反射不是设计目标，而是破坏契约
通过反射强行修改 value 字段，技术上可行，但这属于绕过 Java 安全模型的非常规操作。JVM 不承诺这种行为的结果，且会破坏常量池一致性、哈希缓存、甚至引发类加载异常。日常开发和安全审查中，“防劫持”所指的，就是标准 API 下的合法使用场景——在这个范围内，String 的设计已足够坚实。
立即学习“Java免费学习笔记（深入）”；
