字节码验证器

定义

字节码验证器(Bytecode Verifier)是虚拟机类加载/模块实例化阶段的安全组件:在执行之前对字节码做静态检查,证明其满足类型安全、操作数栈不上溢下溢、跳转目标合法、访问控制不被绕过等约束,从源头拒绝恶意或损坏的代码。

原理

经典 JVM 验证基于数据流分析:对每条指令推导操作数栈与局部变量的类型状态,在控制流汇合处取类型的最小公共超类;Java 6 起引入栈映射帧(StackMapTable),由编译器预先给出各跳转目标的类型状态,验证退化为一遍线性检查,大幅提速。WebAssembly 从设计上保证可单遍线性验证:结构化控制流免除任意跳转,验证成本与代码长度线性相关。

意义

验证器让「执行不可信代码」成为可能,是 Java Applet 时代与今日浏览器 Wasm、云端多租户沙箱的安全基石;历史上多起 Java 沙箱逃逸漏洞正源于验证器实现缺陷,凸显其关键地位。