Java ModuleLayer 怎么隔离插件模块的类加载

Java 插件要做到“各自加载、互不混淆”，关键不是手写一个 URLClassLoader，而是把插件模块放进新的 ModuleLayer，再用 defineModulesWithManyLoaders 为每个模块建立独立的类加载器。主程序仍通过父层提供公共 API，但插件实现类的身份由“类名 + ClassLoader”共同决定。需要注意，ModuleLayer 是模块和加载器的运行时边界，不是安全沙箱。

Java ModuleLayer 的隔离边界在哪里

JVM 启动后至少有一个非空的 boot layer。新插件层通常以 ModuleLayer.boot() 为父层：父层能提供 java.base 和主程序公开的公共类型，子层则拥有自己的模块对象和类加载器映射。findModule 查找不到当前层时还会继续查父层，而 findLoader 返回的是模块实际绑定的加载器。

隔离效果来自两件事：模块图限制可读关系，加载器映射限制类的定义位置。两个插件即使存在同名类，只要由不同加载器定义，也不是同一个 Java 类型；把一个插件对象强转成另一个加载器定义的同名接口，仍可能触发 ClassCastException。因此，跨插件传递的对象最好来自父层公共 API，避免把插件实现类型泄漏出去。

用 Configuration 和 defineModulesWithManyLoaders 创建插件层

下面的示例假设 plugins/weather 中放着已编译的模块，模块描述符声明了 exports demo.plugin。ModuleFinder 只负责发现模块，Configuration.resolve 负责把插件模块和 boot layer 的配置解析成一张模块图，真正定义运行时模块的是后面的 layer API。

import java.lang.module.Configuration;
import java.lang.module.ModuleFinder;
import java.nio.file.Path;
import java.util.Set;

Path pluginPath = Path.of("plugins/weather");
ModuleLayer parent = ModuleLayer.boot();
ModuleFinder finder = ModuleFinder.of(pluginPath);

// 以 boot layer 的配置为父配置，只解析指定插件模块。
Configuration configuration = parent.configuration().resolve(
        finder, ModuleFinder.of(), Set.of("demo.weather"));

// 每个插件模块使用自己的加载器，父加载器仍负责公共类。
ModuleLayer pluginLayer = parent.defineModulesWithManyLoaders(
        configuration, ClassLoader.getSystemClassLoader());

// 通过模块名取得该模块绑定的加载器，再加载公开的插件入口。
ClassLoader pluginLoader = pluginLayer.findLoader("demo.weather");
Class> entry = pluginLoader.loadClass("demo.plugin.WeatherPlugin");
Object plugin = entry.getDeclaredConstructor().newInstance();

// 观察类的真实归属，排查“类名相同但类型不兼容”问题。
System.out.println(entry.getModule().getName());
System.out.println(entry.getClassLoader());

这里的 parentLoader 不是插件加载器本身，而是插件层加载器的父加载器。若插件模块需要读取主程序中的 API，API 必须位于可读模块并在合适的包上 exports；仅仅把 JAR 放进目录，并不会自动打开所有包。

一层一个加载器，还是每个模块一个加载器

不要把 many-loaders 理解成权限隔离。插件仍可能调用父层可见的公共能力，真正的文件、网络或进程权限需要操作系统、容器或其他安全边界处理。ModuleLayer 解决的是模块可见性、类定义位置和运行时层次。

ClassNotFoundException 出现时先查这四项

1. 模块名：Set.of 里的名字必须和 module-info.java 的模块名一致，不能用 JAR 文件名代替。
2. 目录位置：ModuleFinder.of 接收的是模块路径；目录里没有可解析模块时，问题发生在 resolve 之前。
3. 父层与导出：插件入口包要对调用方可见；缺少 exports 时，类可能能找到，但反射实例化会遇到 IllegalAccessException。
4. 实际加载器：用 pluginLayer.findLoader(moduleName) 加载，不要默认使用线程上下文加载器。打印 entry.getModule() 和 entry.getClassLoader()，能快速确认类到底来自哪一层。

如果创建层时报 LayerInstantiationException，优先检查模块配置是否包含错误的父关系、重复包或不允许的 java.* 包。若只是两个插件都依赖同一个公共接口，则把接口放到父层 API 模块，让插件模块读取它，比在插件之间互相暴露实现包更稳妥。

常见问题

ModuleLayer 能阻止插件访问主程序文件吗？

不能。它控制模块读取、包导出和类加载位置，不等同于安全沙箱；文件和网络权限要由操作系统或部署隔离承担。

为什么同名类加载后不能直接强转？

Java 类型身份包含定义它的类加载器。两个 ModuleLayer 或两个插件加载器分别定义同名类时，它们不是同一个类型；跨边界应传递父层公共接口。

什么时候该用 defineModulesWithOneLoader？

当同一层的模块确实需要共享实现类，且你愿意接受较弱的加载器隔离时使用；若目标是插件之间减少类冲突，优先考虑 many-loaders。

相关 API 可继续查阅 ModuleLayer Javadoc、Configuration Javadoc 和 ModuleLayer.Controller Javadoc。