自定义注解这个事儿我最早接触是在某跨平台系统的服务端项目里。当时接口返回给前端的字段有一部分涉及用户隐私每次序列化前都要写一大段脱敏逻辑一个接口里换个字段名就得复制粘贴改一遍代码又臭又长。后来花了一个晚上把方案改成基于自定义注解的脱敏处理器核心逻辑压到几十行新接口接入只需要在字段上标一下。那次的体验让我意识到自定义注解真正的价值不在于会写一个interface而在于你把它放在哪个环节、解决哪类问题。这篇文章我打算从机制讲起再到具体场景、完整实现链路最后聊聊比较容易踩的坑。适合已经能熟练写Java、但对注解只停留在用过 Override 或 Autowired阶段的开发者也适合想给团队产出公共组件的人。内容会结合我自己的项目经历尽量把每一步为什么这么做说清楚。1. 注解本身不干活先理解它的底层运行机制很多人把自定义注解想得很神秘实际上它就是一个贴在代码上的标签。Java 里的注解定义出来之后如果不写处理逻辑它什么都不会做。理解这句什么都不做是搞懂自定义注解的第一步。1.1 注解只是元数据真正的行为来自外部的解读拿 JDK 自带的 Override 来举例。你写了 Override编译器会检查你下面的方法是否真的重写了父类的方法如果没有编译直接报错。这里检查并报错这个行为来自编译器内部的注解处理器不是 Override 自己干的。同样Spring 里的 Autowired 能完成依赖注入是因为 Spring 容器在启动阶段扫描注解并执行了注入逻辑你脱离容器单用这个注解字段还是 null。所以合理的心理模型是注解 贴了标签的数据元数据处理器 看见标签后做事的执行者使用方 被贴了标签的类、方法、字段我在给组里新人解释的时候喜欢打一个比方注解类似于快递盒上贴的易碎品标签。标签本身不会保护箱子真正起作用的是看到标签后轻拿轻放的快递员。自定义注解开发本质上就是定义标签 培训快递员这两件事。1.2 注解的生命周期RetentionPolicy 决定了生效时机注解的保留策略直接决定了它能在哪个阶段被读取这是自定义注解最容易忽略、但又最核心的一个参数。Java 提供了三种 RetentionPolicy策略存活阶段典型用途读取方式SOURCE源码阶段编译后消失代码检查、代码生成如 Lombok编译期注解处理器CLASS编译进 Class 文件运行时 JVM 不保留字节码增强工具使用字节码操作库RUNTIMEJVM 运行时保留框架扩展、反射读取运行时反射最常见我自己做业务组件时90% 的自定义注解选的都是 RUNTIME。原因很直接我需要等应用启动后通过反射拿到带注解的类或字段再执行后续逻辑。例如下面这个日志注解Target(ElementType.METHOD) Retention(RetentionPolicy.RUNTIME) public interface LogExecutionTime { String value() default operation; }这里 Retention(RetentionPolicy.RUNTIME) 是关键缺少这一行运行时反射根本看不到这个注解处理器也就无从触发。如果是做编译期代码生成像 Lombok 那样才需要 SOURCE 配合编译期处理器。CLASS 策略比较尴尬反射拿不到、源码期又太晚主要给字节码增强框架用普通业务开发很少碰。1.3 注解元素定义时看似方法使用时是参数注解内部定义的属性写起来像一个无参方法实际上在使用时以键值对的形式出现。比如上面那个 LogExecutionTime(value queryUser)value 对应的就是在注解里定义的那个方法名。注解元素的设计有几个限制很多人第一次写会踩坑元素类型只能是基本类型、String、Class、枚举、注解以及这些类型的数组元素不能是包装类型不能是对象类型元素不能为 null要么不写用默认值要么写了就必须给值如果想在注解里传一个对象、一个 Map或者传 null那是做不到的。遇到这种需求通常的解法是传一个标识符比如类型名让处理器去维护一个映射表或者在注解里传 Class处理器再根据 Class 去取相关配置。这一点在后面的敏感字段脱敏案例里会具体体现。2. 哪些场景真的适合自定义注解五个实际案例搞清楚机制之后再回头看这玩意儿到底用在哪会清晰很多。我梳理了自己项目里真正用出价值、没有沦落为炫技的五个场景每一个都是在码代码时被重复劳动逼出来的。2.1 场景一参数校验从手写 if 变成一行标注最常见的是接口入参校验。最早我在服务层写的是这样一坨public void createOrder(OrderCreateRequest req) { if (req.getAmount() null || req.getAmount().compareTo(BigDecimal.ZERO) 0) { throw new IllegalArgumentException(金额必须大于0); } if (req.getUserId() null || req.getUserId().length() ! 6) { throw new IllegalArgumentException(用户ID格式不正确); } // ... 后续逻辑 }这种代码每个业务方法都要来一遍校验规则还容易散落各处。后来我定义了如下注解Target(ElementType.FIELD) Retention(RetentionPolicy.RUNTIME) public interface ValidPrice { boolean required() default true; long min() default 0; long max() default Long.MAX_VALUE; }配合一个校验工具类在 Controller 入口统一做校验。需要校验的字段标上注解处理器反射拿到字段值逐一比对规则。再往后甚至可以写一个通用校验框架像字符串非空长度区间正则匹配都能抽象成注解。这背后不是注解有多聪明而是注解把校验规则声明和校验逻辑执行彻底分开了代码读起来一目了然。2.2 场景二日志与埋点横切不污染业务代码业务方法里埋日志点几乎是每个项目都绕不开的诉求。如果手动在每个方法首尾加日志不仅啰嗦而且很容易漏掉。注解配合 AOP 可以解决这类横切关注点。我写过的一个简化版本Target(ElementType.METHOD) Retention(RetentionPolicy.RUNTIME) public interface LogExecutionTime { String value() default operation; }处理器这边用 Spring AOP 的环绕通知去切Aspect Component public class LogExecutionAspect { Around(annotation(logExecutionTime)) public Object around(ProceedingJoinPoint joinPoint, LogExecutionTime logExecutionTime) throws Throwable { long start System.currentTimeMillis(); try { return joinPoint.proceed(); } finally { long cost System.currentTimeMillis() - start; // 伪代码logger.info({}执行耗时{}ms, logExecutionTime.value(), cost); } } }这个方案的巧妙之处在于你只需要在方法上标注注解处理器就自动完成记录开始时间、执行、记录耗时的整个流程。业务代码里看不到任何切面逻辑。这种模式不只是日志权限校验、限流、幂等处理、事务补偿提示都可以套同一套思路。2.3 场景三敏感字段脱敏解决序列化前的重复加工这是促成我写这篇文章的原始推动力。当时做用户信息接口每个返回的 VO 里面都有手机号、身份证、邮箱这类敏感字段在序列化输出前要统一脱敏。最初我写了一个脱敏工具类然后在每个业务方法里手动调用userVO.setPhone(DesensitizeUtil.maskPhone(userVO.getPhone())); userVO.setIdCard(DesensitizeUtil.maskIdCard(userVO.getIdCard()));问题显而易见漏一处就出一次安全事件加一个新 VO 又要复制一遍。改用注解之后Target(ElementType.FIELD) Retention(RetentionPolicy.RUNTIME) public interface MaskField { MaskType type() default MaskType.PHONE; } public enum MaskType { PHONE, ID_CARD, EMAIL, NAME }VO 里这样用public class UserVO { MaskField(type MaskType.PHONE) private String phone; MaskField(type MaskType.ID_CARD) private String idCard; private String username; }然后写一个专门的序列化处理器在对象转 JSON 之前反射扫描所有带 MaskField 的字段按 type 脱敏。后续新增字段只需要在 VO 上标注不需要动任何业务方法。这类对已有数据结构做统一横切加工的场景几乎是注解最合适的土壤——既有稳定的结构字段声明又有统一的行为脱敏规则中间差的只是一个可以反复触发的处理器。2.4 场景四接口与字典映射替代一堆 if-else做后端对接外部系统或做前端展示经常遇到后端存的是编码前端要展示的是名称的问题例如下单渠道 1App、2网页、3小程序。最初我是在返回 VO 之前用一个 Map 去转换后来扩展成注解驱动Target(ElementType.FIELD) Retention(RetentionPolicy.RUNTIME) public interface DictConvert { String dictCode() default ; }处理器可以在序列化时查找字典表把编码转成名称或附加一个名称字段。这样做的好处是字典映射逻辑不会散落在各个业务方法里调整映射关系只需要改字典表不需要改代码同时字段的处理在统一出口完成可测试性也更强。这类基于字段元数据做数据加工的场景跟脱敏本质上是同一类问题。2.5 场景五测试数据驱动降低用例维护成本还有一个我最近才用起来的场景是自动化测试。我们有大批同一套测试逻辑、多组入参的接口用例最早是写循环调用一旦逻辑变了要改的地方很多。后来用注解把测试入参挂到测试方法上Target(ElementType.METHOD) Retention(RetentionPolicy.RUNTIME) public interface TestCaseData { String jsonPath() default ; int times() default 1; }再写一个 JUnit 扩展或测试基类里的处理器读取注解的 jsonPath加载对应 JSON 文件循环执行测试方法。每个方法只需要标注数据来源测试用例的编排和业务逻辑的复用得比较干净。这种场景本质上是给方法添加元信息让执行框架按元信息驱动流程注解在这里更像一种轻量级配置语言。3. 一个完整注解的实现链路从定义到生效上面讲了场景接下来拿敏感字段脱敏这个案例走一遍完整的实现流程。这个例子足够典型又不会涉及业务细节适合一步一步复现。3.1 定义注解类型注意 Target、Retention 和元素设计第一步是写一个注解类用 interface 声明Target(ElementType.FIELD) Retention(RetentionPolicy.RUNTIME) public interface MaskField { MaskType type() default MaskType.PHONE; }这里的细节Target(ElementType.FIELD) 限制它能用在字段上避免误用到类或方法上。如果你想让它既支持字段又支持方法可以用 Target({ElementType.FIELD, ElementType.METHOD})。Retention(RetentionPolicy.RUNTIME) 保证运行期能反射读取。枚举 MaskType 定义脱敏类型。这里我没有用字符串因为枚举在编译期就能检查合法性还能在 switch 里享受编译器提示比 String 安全得多。给 type 设置了默认值 PHONE这样使用时不写也能工作降低使用成本。为什么只传一个枚举而不是传掩码开头几位、结尾几位因为那样用起来太啰嗦。把复杂度集中到处理器里使用者只表达我要脱敏手机号类型这是注解设计的准则之一注解本身要极度精简繁重的逻辑交给处理器。3.2 编写注解处理器反射扫描 执行脱敏规则第二步是写一个工具类接收一个对象反射遍历它的所有字段处理带注解的字段public class MaskProcessor { public static void process(Object obj) throws IllegalAccessException { if (obj null) { return; } Field[] fields obj.getClass().getDeclaredFields(); for (Field field : fields) { MaskField mask field.getAnnotation(MaskField.class); if (mask null) { continue; } field.setAccessible(true); Object value field.get(obj); if (value null) { continue; } String original String.valueOf(value); field.set(obj, applyMask(original, mask.type())); } } private static String applyMask(String original, MaskType type) { switch (type) { case PHONE: return original.replaceAll((\\d{3})\\d{4}(\\d{4}), $1****$2); case ID_CARD: return original.replaceAll((\\d{6})\\d{8}(\\w{4}), $1********$2); case EMAIL: int atIndex original.indexOf(); if (atIndex 1) { return original.substring(0, 1) *** original.substring(atIndex); } return original; case NAME: return original.charAt(0) *; default: return original; } } }这个处理器只做几件事拿到类的所有字段注意我用的是 getDeclaredFields()它能拿到私有字段而 getFields() 只能拿到 public 的。对每个字段调用 getAnnotation(MaskField.class)判断是否带注解。如果带了注解就取出字段值按 type 脱敏再 set 回去。field.setAccessible(true) 是绕过 private 访问限制的关键Java 9 之后的模块系统下如果模块没开放可能还是会受限但普通 Spring Boot 应用通常没问题。3.3 在什么时机调用处理器两种常见的接入方式有注解、有处理器还差一个触发点。我最常用的是两种。第一种是手动调用适合在 Controller 层序列化之前统一处理PostMapping(/user) public UserVO getUser() { UserVO vo userService.getUser(); MaskProcessor.process(vo); return vo; }好处是显式、直观坏处是每个出口都要记得调用。第二种是复用 Json 序列化接口写一个自定义序列化器让所有返回对象在序列化那一刻自动脱敏。这个方案更彻底但实现复杂度也更高要继承相关的 JsonSerializer 类并注册到 ObjectMapper 中。效果上是任何带 MaskField 的字段在输出 JSON 时都会自动用脱敏后的值替换。属于处理器在更底层自动触发的模式。我不建议在业务代码里到处手动调用容易漏。如果项目里有统一的响应出口优先把处理器挂到那个出口上如果没有就通过序列化器接入让带注解即生效变成铁律。3.4 测试验证一个最小可复现的示例先把能不能跑通验证掉。可以写一个很小的主方法UserVO vo new UserVO(); vo.setPhone(13812345678); vo.setIdCard(110101199001011234); vo.setUsername(张三); MaskProcessor.process(vo); System.out.println(vo.getPhone()); // 138****5678 System.out.println(vo.getIdCard()); // 110101********1234 System.out.println(vo.getUsername()); // 张*输出符合预期后再思考什么时候调用的问题。我习惯先跑最小示例验证注解本身、处理器逻辑没有问题再考虑接入到框架层。一上来就接序列化器出了问题容易分不清是注解问题、反射问题还是序列化配置问题。4. 处理器设计里的深水区缓存、泛型、继承这些细节基础链路跑通后真正决定一个自定义注解组件好不好用的是处理器的细节设计。这一部分不是热闹的炫技而是实际项目里磨出来的经验。4.1 反射性能问题缓存是必须做的一步如果每次调用处理器都重新 getDeclaredFields() 并遍历在高频接口里会有可感知的损耗。毕竟反射拿字段列表本身是一笔不小的开销。所以我会在处理器里加一个本地缓存以类为 key缓存已经扫描过的需要脱敏的字段类型列表private static final MapClass?, ListMaskedFieldCacheEntry CACHE new ConcurrentHashMap(); private static ListMaskedFieldCacheEntry getMaskFields(Class? clazz) { return CACHE.computeIfAbsent(clazz, MaskProcessor::scanFields); }缓存逻辑本质上是一种元数据预解析。第一次碰到某个类时扫描一次之后直接从缓存取值。这样一来反射开销被摊薄到了可忽略的程度。要注意缓存必须用 ConcurrentHashMap因为这段代码在并发环境下会同时执行普通 HashMap 会造成CPU打满或死循环。4.2 字段继承与父类字段getDeclaredFields 的坑只扫描当前类的字段有个隐患如果 VO 继承了基类基类里的字段不会被扫描到。比如公共基类里有 createTime子类里才用 MaskField 标注某个字段由于 getDeclaredFields() 只返回当前类的字段父类字段会被漏掉。我的解决办法是写一个向上遍历父类的扫描逻辑private static ListField getAllFields(Class? clazz) { ListField fields new ArrayList(); for (Class? current clazz; current ! null current ! Object.class; current current.getSuperclass()) { fields.addAll(Arrays.asList(current.getDeclaredFields())); } return fields; }这种遍历从当前类一直走到 Object 为止。处理时需要注意字段覆盖的情况如果子类重新声明了同名字段顺序上会有重复不过对脱敏这种场景影响不大。如果是做更精确的注解解析建议用工具库里的方法或手动去重这里不展开。4.3 泛型类型脱敏处理器为什么拿不到字段的泛型信息严格来说脱敏字段大多是 String 类型不怎么涉及泛型。但我做字典转换时遇到过一个真问题VO 里某个字段是 List 我想知道这个 List 里面装的具体是什么类型结果发现反射的 Field.getType() 只返回 List.class泛型参数在运行时几乎是被擦除的。如果需要读取泛型必须用 field.getGenericType() 转换成 ParameterizedType再拿 getActualTypeArguments()。但要注意Java 的泛型擦除使得很多情况下这种信息并不保留尤其在经过序列化或代理之后。设计组件的时候尽量让注解不要依赖子元素的泛型信息否则会陷入指标了但信息拿不到的泥潭。4.4 注解处理器到底放在哪一层项目里的分层习惯最后聊一下组织方式。我在团队里习惯把注解定义 处理器拆成独立的组件模块和业务代码隔离。注解定义属于契约处理器属于实现两者可以独立演进。使用方只需要依赖契约包而处理器由基础架构层扫描或引入。这样分层的好处是业务代码里不会出现大段反射逻辑不同的业务线可以共用同一套注解处理器需要升级的时候不动业务代码。代价是初期要多维护一个模块但对中大型项目来说这个成本完全值得。5. 自定义注解的边界哪些坑我真实踩过讲完实现说几个我在真实项目中踩过的坑每一个都花了不少时间排查。把这些记下来你可能能少走我走过的弯路。5.1 RetentionPolicy 选错运行时反射拿不到注解有一次我把一个注解的 Retention 写成 SOURCE运行期反射怎么都拿不到排查了半天。后来翻到定义处才意识到问题。现在的习惯是凡是需要在运行期读取的注解一定写 Retention(RetentionPolicy.RUNTIME)写完先看一眼。这个不要指望 IDE 帮你检查IDE 不会拦截这种逻辑错误。5.2 Inherited 的误导继承了父子类注解并不总生效Java 里有一个 Inherited 元注解可以让子类继承父类上的注解。照字面理解子类会自动带上父类的注解但实际上有三个限制它只能用在类上的注解对方法和字段无效子类必须没有显式声明同一个注解否则覆盖通过类继承得到的注解反射 getAnnotations() 可以拿到但 getDeclaredAnnotations() 拿不到我在设计类级别注解时遇到过子类为什么没生效的疑问最后查到是 Inherited 根本不作用于字段。现在我的原则是不依赖继承传播注解每个类或者字段需要什么就显式标注什么反而更可控。5.3 Spring AOP 代理对象字段注解在代理下可能丢失Spring AOP 默认用 JDK 动态代理或 CGLIB 代理被代理的类跑在代理包装下。如果你在处理器里试图透过代理对象反射获取某些字段可能拿到的不是目标对象字段值可能不是你期望的。典型的表现为使用 Value 注入的字段在代理模式下为空或者注解处理器在切面内部取值时取到 null。解决思路有两个方向在切面方法里优先用 joinPoint.getArgs()、Method 上的注解而不是拿到 target 对象反射字段如果必须要目标对象的字段则不要脱离 Spring 的上下文尽量用 Spring 提供的工具方法去获取真实类型这个问题在写通用切面组件时特别常见多留点心眼。5.4 注解元素不是 null为空值设计默认策略注解元素不能为 null 这个限制导致一个经典难题想让某个配置通过注解传 null做不到。比如我想让某注解的 value 在用户没写时表示使用全局配置直接给 default 是可行的但要用空字符串先把占位符声明出来处理器里再做一层是否为空的判断。不要在注解里声明 default null编译会直接报错。如果遇到对象类型的配置更根本的解法是fallback 到全局配置。注解里只放一个开关或者 key其他信息从全局配置中心读取。这条设计原则可以避免很多不必要的纠结。5.5 滥用注解当配置散落在注解里改动反而麻烦最后说一个偏工程理念的坑。注解确实好用但容易上瘾什么逻辑都想抽象成一个注解。有一段时间我们的代码里注解满天飞权限注解、缓存注解、限流注解、日志注解、脱敏注解、字典注解...... 表面上看业务代码干净了但出问题的时候排查链路被拉得非常长因为实际逻辑全部藏在不同处理器里而处理器可能分布在各个基础模块。有一条经验值得单独拎出来自定义注解适合行为统一、规则稳定的场景比如脱敏、日志、入参校验、固定字典转换。如果某个逻辑在不同接口里经常出现各种变体或者规则三天两头变那把它下沉成注解反而增加维护成本。面对这类需求显式代码或许不好看但更好维护。写在最后自定义注解是一把锋利的好刀但它终究是元数据 反射/编译期处理的组合拳。会写 interface 只是入门真正有价值的判断在于能不能把重复行为收敛成一个标签让处理器统一执行能不能在注解、处理器、触发时机三者之间找到稳定的架构位置。如果看完这篇文章你想尝试建议从自己项目里最痛的一个重复场景入手比如日志、脱敏或者参数校验。先定义最小注解再写一个处理器最后接入你的输出出口。这个流程走通一次之后你再回头看这段经历会对元数据驱动这几个字有完全不一样的理解。就我个人来说这个思维方式的转换比注解本身的语法更值得。 
长河君 · 2026/10/13 8:04:39 · 阅读 1.2k 深入理解Java自定义注解：从底层机制到敏感字段脱敏处理器实战
自定义注解这个事儿我最早接触是在某跨平台系统的服务端项目里。当时接口返回给前端的字段有一部分涉及用户隐私每次序列化前都要写一大段脱敏逻辑一个接口里换个字段名就得复制粘贴改一遍代码又臭又长。后来花了一个晚上把方案改成基于自定义注解的脱敏处理器核心逻辑压到几十行新接口接入只需要在字段上标一下。那次的体验让我意识到自定义注解真正的价值不在于会写一个interface而在于你把它放在哪个环节、解决哪类问题。这篇文章我打算从机制讲起再到具体场景、完整实现链路最后聊聊比较容易踩的坑。适合已经能熟练写Java、但对注解只停留在用过 Override 或 Autowired阶段的开发者也适合想给团队产出公共组件的人。内容会结合我自己的项目经历尽量把每一步为什么这么做说清楚。1. 注解本身不干活先理解它的底层运行机制很多人把自定义注解想得很神秘实际上它就是一个贴在代码上的标签。Java 里的注解定义出来之后如果不写处理逻辑它什么都不会做。理解这句什么都不做是搞懂自定义注解的第一步。1.1 注解只是元数据真正的行为来自外部的解读拿 JDK 自带的 Override 来举例。你写了 Override编译器会检查你下面的方法是否真的重写了父类的方法如果没有编译直接报错。这里检查并报错这个行为来自编译器内部的注解处理器不是 Override 自己干的。同样Spring 里的 Autowired 能完成依赖注入是因为 Spring 容器在启动阶段扫描注解并执行了注入逻辑你脱离容器单用这个注解字段还是 null。所以合理的心理模型是注解 贴了标签的数据元数据处理器 看见标签后做事的执行者使用方 被贴了标签的类、方法、字段我在给组里新人解释的时候喜欢打一个比方注解类似于快递盒上贴的易碎品标签。标签本身不会保护箱子真正起作用的是看到标签后轻拿轻放的快递员。自定义注解开发本质上就是定义标签 培训快递员这两件事。1.2 注解的生命周期RetentionPolicy 决定了生效时机注解的保留策略直接决定了它能在哪个阶段被读取这是自定义注解最容易忽略、但又最核心的一个参数。Java 提供了三种 RetentionPolicy策略存活阶段典型用途读取方式SOURCE源码阶段编译后消失代码检查、代码生成如 Lombok编译期注解处理器CLASS编译进 Class 文件运行时 JVM 不保留字节码增强工具使用字节码操作库RUNTIMEJVM 运行时保留框架扩展、反射读取运行时反射最常见我自己做业务组件时90% 的自定义注解选的都是 RUNTIME。原因很直接我需要等应用启动后通过反射拿到带注解的类或字段再执行后续逻辑。例如下面这个日志注解Target(ElementType.METHOD) Retention(RetentionPolicy.RUNTIME) public interface LogExecutionTime { String value() default operation; }这里 Retention(RetentionPolicy.RUNTIME) 是关键缺少这一行运行时反射根本看不到这个注解处理器也就无从触发。如果是做编译期代码生成像 Lombok 那样才需要 SOURCE 配合编译期处理器。CLASS 策略比较尴尬反射拿不到、源码期又太晚主要给字节码增强框架用普通业务开发很少碰。1.3 注解元素定义时看似方法使用时是参数注解内部定义的属性写起来像一个无参方法实际上在使用时以键值对的形式出现。比如上面那个 LogExecutionTime(value queryUser)value 对应的就是在注解里定义的那个方法名。注解元素的设计有几个限制很多人第一次写会踩坑元素类型只能是基本类型、String、Class、枚举、注解以及这些类型的数组元素不能是包装类型不能是对象类型元素不能为 null要么不写用默认值要么写了就必须给值如果想在注解里传一个对象、一个 Map或者传 null那是做不到的。遇到这种需求通常的解法是传一个标识符比如类型名让处理器去维护一个映射表或者在注解里传 Class处理器再根据 Class 去取相关配置。这一点在后面的敏感字段脱敏案例里会具体体现。2. 哪些场景真的适合自定义注解五个实际案例搞清楚机制之后再回头看这玩意儿到底用在哪会清晰很多。我梳理了自己项目里真正用出价值、没有沦落为炫技的五个场景每一个都是在码代码时被重复劳动逼出来的。2.1 场景一参数校验从手写 if 变成一行标注最常见的是接口入参校验。最早我在服务层写的是这样一坨public void createOrder(OrderCreateRequest req) { if (req.getAmount() null || req.getAmount().compareTo(BigDecimal.ZERO) 0) { throw new IllegalArgumentException(金额必须大于0); } if (req.getUserId() null || req.getUserId().length() ! 6) { throw new IllegalArgumentException(用户ID格式不正确); } // ... 后续逻辑 }这种代码每个业务方法都要来一遍校验规则还容易散落各处。后来我定义了如下注解Target(ElementType.FIELD) Retention(RetentionPolicy.RUNTIME) public interface ValidPrice { boolean required() default true; long min() default 0; long max() default Long.MAX_VALUE; }配合一个校验工具类在 Controller 入口统一做校验。需要校验的字段标上注解处理器反射拿到字段值逐一比对规则。再往后甚至可以写一个通用校验框架像字符串非空长度区间正则匹配都能抽象成注解。这背后不是注解有多聪明而是注解把校验规则声明和校验逻辑执行彻底分开了代码读起来一目了然。2.2 场景二日志与埋点横切不污染业务代码业务方法里埋日志点几乎是每个项目都绕不开的诉求。如果手动在每个方法首尾加日志不仅啰嗦而且很容易漏掉。注解配合 AOP 可以解决这类横切关注点。我写过的一个简化版本Target(ElementType.METHOD) Retention(RetentionPolicy.RUNTIME) public interface LogExecutionTime { String value() default operation; }处理器这边用 Spring AOP 的环绕通知去切Aspect Component public class LogExecutionAspect { Around(annotation(logExecutionTime)) public Object around(ProceedingJoinPoint joinPoint, LogExecutionTime logExecutionTime) throws Throwable { long start System.currentTimeMillis(); try { return joinPoint.proceed(); } finally { long cost System.currentTimeMillis() - start; // 伪代码logger.info({}执行耗时{}ms, logExecutionTime.value(), cost); } } }这个方案的巧妙之处在于你只需要在方法上标注注解处理器就自动完成记录开始时间、执行、记录耗时的整个流程。业务代码里看不到任何切面逻辑。这种模式不只是日志权限校验、限流、幂等处理、事务补偿提示都可以套同一套思路。2.3 场景三敏感字段脱敏解决序列化前的重复加工这是促成我写这篇文章的原始推动力。当时做用户信息接口每个返回的 VO 里面都有手机号、身份证、邮箱这类敏感字段在序列化输出前要统一脱敏。最初我写了一个脱敏工具类然后在每个业务方法里手动调用userVO.setPhone(DesensitizeUtil.maskPhone(userVO.getPhone())); userVO.setIdCard(DesensitizeUtil.maskIdCard(userVO.getIdCard()));问题显而易见漏一处就出一次安全事件加一个新 VO 又要复制一遍。改用注解之后Target(ElementType.FIELD) Retention(RetentionPolicy.RUNTIME) public interface MaskField { MaskType type() default MaskType.PHONE; } public enum MaskType { PHONE, ID_CARD, EMAIL, NAME }VO 里这样用public class UserVO { MaskField(type MaskType.PHONE) private String phone; MaskField(type MaskType.ID_CARD) private String idCard; private String username; }然后写一个专门的序列化处理器在对象转 JSON 之前反射扫描所有带 MaskField 的字段按 type 脱敏。后续新增字段只需要在 VO 上标注不需要动任何业务方法。这类对已有数据结构做统一横切加工的场景几乎是注解最合适的土壤——既有稳定的结构字段声明又有统一的行为脱敏规则中间差的只是一个可以反复触发的处理器。2.4 场景四接口与字典映射替代一堆 if-else做后端对接外部系统或做前端展示经常遇到后端存的是编码前端要展示的是名称的问题例如下单渠道 1App、2网页、3小程序。最初我是在返回 VO 之前用一个 Map 去转换后来扩展成注解驱动Target(ElementType.FIELD) Retention(RetentionPolicy.RUNTIME) public interface DictConvert { String dictCode() default ; }处理器可以在序列化时查找字典表把编码转成名称或附加一个名称字段。这样做的好处是字典映射逻辑不会散落在各个业务方法里调整映射关系只需要改字典表不需要改代码同时字段的处理在统一出口完成可测试性也更强。这类基于字段元数据做数据加工的场景跟脱敏本质上是同一类问题。2.5 场景五测试数据驱动降低用例维护成本还有一个我最近才用起来的场景是自动化测试。我们有大批同一套测试逻辑、多组入参的接口用例最早是写循环调用一旦逻辑变了要改的地方很多。后来用注解把测试入参挂到测试方法上Target(ElementType.METHOD) Retention(RetentionPolicy.RUNTIME) public interface TestCaseData { String jsonPath() default ; int times() default 1; }再写一个 JUnit 扩展或测试基类里的处理器读取注解的 jsonPath加载对应 JSON 文件循环执行测试方法。每个方法只需要标注数据来源测试用例的编排和业务逻辑的复用得比较干净。这种场景本质上是给方法添加元信息让执行框架按元信息驱动流程注解在这里更像一种轻量级配置语言。3. 一个完整注解的实现链路从定义到生效上面讲了场景接下来拿敏感字段脱敏这个案例走一遍完整的实现流程。这个例子足够典型又不会涉及业务细节适合一步一步复现。3.1 定义注解类型注意 Target、Retention 和元素设计第一步是写一个注解类用 interface 声明Target(ElementType.FIELD) Retention(RetentionPolicy.RUNTIME) public interface MaskField { MaskType type() default MaskType.PHONE; }这里的细节Target(ElementType.FIELD) 限制它能用在字段上避免误用到类或方法上。如果你想让它既支持字段又支持方法可以用 Target({ElementType.FIELD, ElementType.METHOD})。Retention(RetentionPolicy.RUNTIME) 保证运行期能反射读取。枚举 MaskType 定义脱敏类型。这里我没有用字符串因为枚举在编译期就能检查合法性还能在 switch 里享受编译器提示比 String 安全得多。给 type 设置了默认值 PHONE这样使用时不写也能工作降低使用成本。为什么只传一个枚举而不是传掩码开头几位、结尾几位因为那样用起来太啰嗦。把复杂度集中到处理器里使用者只表达我要脱敏手机号类型这是注解设计的准则之一注解本身要极度精简繁重的逻辑交给处理器。3.2 编写注解处理器反射扫描 执行脱敏规则第二步是写一个工具类接收一个对象反射遍历它的所有字段处理带注解的字段public class MaskProcessor { public static void process(Object obj) throws IllegalAccessException { if (obj null) { return; } Field[] fields obj.getClass().getDeclaredFields(); for (Field field : fields) { MaskField mask field.getAnnotation(MaskField.class); if (mask null) { continue; } field.setAccessible(true); Object value field.get(obj); if (value null) { continue; } String original String.valueOf(value); field.set(obj, applyMask(original, mask.type())); } } private static String applyMask(String original, MaskType type) { switch (type) { case PHONE: return original.replaceAll((\\d{3})\\d{4}(\\d{4}), $1****$2); case ID_CARD: return original.replaceAll((\\d{6})\\d{8}(\\w{4}), $1********$2); case EMAIL: int atIndex original.indexOf(); if (atIndex 1) { return original.substring(0, 1) *** original.substring(atIndex); } return original; case NAME: return original.charAt(0) *; default: return original; } } }这个处理器只做几件事拿到类的所有字段注意我用的是 getDeclaredFields()它能拿到私有字段而 getFields() 只能拿到 public 的。对每个字段调用 getAnnotation(MaskField.class)判断是否带注解。如果带了注解就取出字段值按 type 脱敏再 set 回去。field.setAccessible(true) 是绕过 private 访问限制的关键Java 9 之后的模块系统下如果模块没开放可能还是会受限但普通 Spring Boot 应用通常没问题。3.3 在什么时机调用处理器两种常见的接入方式有注解、有处理器还差一个触发点。我最常用的是两种。第一种是手动调用适合在 Controller 层序列化之前统一处理PostMapping(/user) public UserVO getUser() { UserVO vo userService.getUser(); MaskProcessor.process(vo); return vo; }好处是显式、直观坏处是每个出口都要记得调用。第二种是复用 Json 序列化接口写一个自定义序列化器让所有返回对象在序列化那一刻自动脱敏。这个方案更彻底但实现复杂度也更高要继承相关的 JsonSerializer 类并注册到 ObjectMapper 中。效果上是任何带 MaskField 的字段在输出 JSON 时都会自动用脱敏后的值替换。属于处理器在更底层自动触发的模式。我不建议在业务代码里到处手动调用容易漏。如果项目里有统一的响应出口优先把处理器挂到那个出口上如果没有就通过序列化器接入让带注解即生效变成铁律。3.4 测试验证一个最小可复现的示例先把能不能跑通验证掉。可以写一个很小的主方法UserVO vo new UserVO(); vo.setPhone(13812345678); vo.setIdCard(110101199001011234); vo.setUsername(张三); MaskProcessor.process(vo); System.out.println(vo.getPhone()); // 138****5678 System.out.println(vo.getIdCard()); // 110101********1234 System.out.println(vo.getUsername()); // 张*输出符合预期后再思考什么时候调用的问题。我习惯先跑最小示例验证注解本身、处理器逻辑没有问题再考虑接入到框架层。一上来就接序列化器出了问题容易分不清是注解问题、反射问题还是序列化配置问题。4. 处理器设计里的深水区缓存、泛型、继承这些细节基础链路跑通后真正决定一个自定义注解组件好不好用的是处理器的细节设计。这一部分不是热闹的炫技而是实际项目里磨出来的经验。4.1 反射性能问题缓存是必须做的一步如果每次调用处理器都重新 getDeclaredFields() 并遍历在高频接口里会有可感知的损耗。毕竟反射拿字段列表本身是一笔不小的开销。所以我会在处理器里加一个本地缓存以类为 key缓存已经扫描过的需要脱敏的字段类型列表private static final MapClass?, ListMaskedFieldCacheEntry CACHE new ConcurrentHashMap(); private static ListMaskedFieldCacheEntry getMaskFields(Class? clazz) { return CACHE.computeIfAbsent(clazz, MaskProcessor::scanFields); }缓存逻辑本质上是一种元数据预解析。第一次碰到某个类时扫描一次之后直接从缓存取值。这样一来反射开销被摊薄到了可忽略的程度。要注意缓存必须用 ConcurrentHashMap因为这段代码在并发环境下会同时执行普通 HashMap 会造成CPU打满或死循环。4.2 字段继承与父类字段getDeclaredFields 的坑只扫描当前类的字段有个隐患如果 VO 继承了基类基类里的字段不会被扫描到。比如公共基类里有 createTime子类里才用 MaskField 标注某个字段由于 getDeclaredFields() 只返回当前类的字段父类字段会被漏掉。我的解决办法是写一个向上遍历父类的扫描逻辑private static ListField getAllFields(Class? clazz) { ListField fields new ArrayList(); for (Class? current clazz; current ! null current ! Object.class; current current.getSuperclass()) { fields.addAll(Arrays.asList(current.getDeclaredFields())); } return fields; }这种遍历从当前类一直走到 Object 为止。处理时需要注意字段覆盖的情况如果子类重新声明了同名字段顺序上会有重复不过对脱敏这种场景影响不大。如果是做更精确的注解解析建议用工具库里的方法或手动去重这里不展开。4.3 泛型类型脱敏处理器为什么拿不到字段的泛型信息严格来说脱敏字段大多是 String 类型不怎么涉及泛型。但我做字典转换时遇到过一个真问题VO 里某个字段是 List 我想知道这个 List 里面装的具体是什么类型结果发现反射的 Field.getType() 只返回 List.class泛型参数在运行时几乎是被擦除的。如果需要读取泛型必须用 field.getGenericType() 转换成 ParameterizedType再拿 getActualTypeArguments()。但要注意Java 的泛型擦除使得很多情况下这种信息并不保留尤其在经过序列化或代理之后。设计组件的时候尽量让注解不要依赖子元素的泛型信息否则会陷入指标了但信息拿不到的泥潭。4.4 注解处理器到底放在哪一层项目里的分层习惯最后聊一下组织方式。我在团队里习惯把注解定义 处理器拆成独立的组件模块和业务代码隔离。注解定义属于契约处理器属于实现两者可以独立演进。使用方只需要依赖契约包而处理器由基础架构层扫描或引入。这样分层的好处是业务代码里不会出现大段反射逻辑不同的业务线可以共用同一套注解处理器需要升级的时候不动业务代码。代价是初期要多维护一个模块但对中大型项目来说这个成本完全值得。5. 自定义注解的边界哪些坑我真实踩过讲完实现说几个我在真实项目中踩过的坑每一个都花了不少时间排查。把这些记下来你可能能少走我走过的弯路。5.1 RetentionPolicy 选错运行时反射拿不到注解有一次我把一个注解的 Retention 写成 SOURCE运行期反射怎么都拿不到排查了半天。后来翻到定义处才意识到问题。现在的习惯是凡是需要在运行期读取的注解一定写 Retention(RetentionPolicy.RUNTIME)写完先看一眼。这个不要指望 IDE 帮你检查IDE 不会拦截这种逻辑错误。5.2 Inherited 的误导继承了父子类注解并不总生效Java 里有一个 Inherited 元注解可以让子类继承父类上的注解。照字面理解子类会自动带上父类的注解但实际上有三个限制它只能用在类上的注解对方法和字段无效子类必须没有显式声明同一个注解否则覆盖通过类继承得到的注解反射 getAnnotations() 可以拿到但 getDeclaredAnnotations() 拿不到我在设计类级别注解时遇到过子类为什么没生效的疑问最后查到是 Inherited 根本不作用于字段。现在我的原则是不依赖继承传播注解每个类或者字段需要什么就显式标注什么反而更可控。5.3 Spring AOP 代理对象字段注解在代理下可能丢失Spring AOP 默认用 JDK 动态代理或 CGLIB 代理被代理的类跑在代理包装下。如果你在处理器里试图透过代理对象反射获取某些字段可能拿到的不是目标对象字段值可能不是你期望的。典型的表现为使用 Value 注入的字段在代理模式下为空或者注解处理器在切面内部取值时取到 null。解决思路有两个方向在切面方法里优先用 joinPoint.getArgs()、Method 上的注解而不是拿到 target 对象反射字段如果必须要目标对象的字段则不要脱离 Spring 的上下文尽量用 Spring 提供的工具方法去获取真实类型这个问题在写通用切面组件时特别常见多留点心眼。5.4 注解元素不是 null为空值设计默认策略注解元素不能为 null 这个限制导致一个经典难题想让某个配置通过注解传 null做不到。比如我想让某注解的 value 在用户没写时表示使用全局配置直接给 default 是可行的但要用空字符串先把占位符声明出来处理器里再做一层是否为空的判断。不要在注解里声明 default null编译会直接报错。如果遇到对象类型的配置更根本的解法是fallback 到全局配置。注解里只放一个开关或者 key其他信息从全局配置中心读取。这条设计原则可以避免很多不必要的纠结。5.5 滥用注解当配置散落在注解里改动反而麻烦最后说一个偏工程理念的坑。注解确实好用但容易上瘾什么逻辑都想抽象成一个注解。有一段时间我们的代码里注解满天飞权限注解、缓存注解、限流注解、日志注解、脱敏注解、字典注解...... 表面上看业务代码干净了但出问题的时候排查链路被拉得非常长因为实际逻辑全部藏在不同处理器里而处理器可能分布在各个基础模块。有一条经验值得单独拎出来自定义注解适合行为统一、规则稳定的场景比如脱敏、日志、入参校验、固定字典转换。如果某个逻辑在不同接口里经常出现各种变体或者规则三天两头变那把它下沉成注解反而增加维护成本。面对这类需求显式代码或许不好看但更好维护。写在最后自定义注解是一把锋利的好刀但它终究是元数据 反射/编译期处理的组合拳。会写 interface 只是入门真正有价值的判断在于能不能把重复行为收敛成一个标签让处理器统一执行能不能在注解、处理器、触发时机三者之间找到稳定的架构位置。如果看完这篇文章你想尝试建议从自己项目里最痛的一个重复场景入手比如日志、脱敏或者参数校验。先定义最小注解再写一个处理器最后接入你的输出出口。这个流程走通一次之后你再回头看这段经历会对元数据驱动这几个字有完全不一样的理解。就我个人来说这个思维方式的转换比注解本身的语法更值得。