这个注解是为了堵住漏洞用的。
@CallerSensitive public static Class<?> forName(String className) throws ClassNotFoundException { Class<?> caller = Reflection.getCallerClass(); return forName0(className, true, ClassLoader.getClassLoader(caller), caller); }
内部调用了 getCallerClass() 方法,这是一个 native 方法,凑巧的是,它也有 CallerSensitive 注解。
@CallerSensitive public static native Class<?> getCallerClass();
Caller=调用者,Sensitive=敏感的/易感知的。主要是针对于方法调用者所做的一些控制。
Reflection.getCallerClass() 要求调用者必须有 CallerSensitive 注解,并且必须有权限(由 bootstrap class loader 或 extension class loader 加载的类)才可以调用。
Reflection.getCallerClass() 加了 @CallerSensitive 注解后,能够跟踪到最初的调用者。例如 method-1 -> method-2 -> method-3 -> Reflection.getCallerClass,最终返回的是 method-1。
@CallerSensitive 能够堵住反射的漏洞,当你尝试用反射调用 Reflection.getCallerClass(),结果会抛出异常。