如何判断java.io.File指向的文件是否为合法Java类文件

方案1：基础魔数校验（轻量，过滤绝大多数无效文件） #

所有合法Java类文件的前4个字节固定为魔数 0xCAFEBABE，仅读取文件头即可完成快速校验，性能开销极低：

import java.io.File;
import java.io.FileInputStream;
import java.io.IOException;

public boolean isLegalClassFile(File file) {
    // 类文件最小长度远大于8字节，先快速过滤明显不符合的文件
    if (!file.exists() || !file.isFile() || file.length() < 8) {
        return false;
    }
    try (FileInputStream fis = new FileInputStream(file)) {
        byte[] header = new byte[4];
        int readCount = fis.read(header);
        if (readCount != 4) {
            return false;
        }
        // 校验魔数 0xCAFEBABE
        return (header[0] & 0xFF) == 0xCA &&
               (header[1] & 0xFF) == 0xFE &&
               (header[2] & 0xFF) == 0xBA &&
               (header[3] & 0xFF) == 0xBE;
    } catch (IOException e) {
        return false;
    }
}

注意：魔数校验只能排除文件头不符合规范的文件，无法校验字节码结构是否完整、是否存在非法指令等问题，如果需要更高严格度的校验，需要用全量字节码解析方案。

方案2：全量字节码结构校验（严格，可识别结构异常的类文件） #

如果需要确认类文件完全符合JVM规范，可以通过解析整个字节码结构实现，以下实现不需要引入第三方依赖：

import java.io.File;
import java.io.FileInputStream;
import java.io.IOException;

public boolean isFullLegalClassFile(File file) {
    if (!file.exists() || !file.isFile()) {
        return false;
    }
    byte[] classBytes = new byte[(int) file.length()];
    try (FileInputStream fis = new FileInputStream(file)) {
        int read = fis.read(classBytes);
        if (read != classBytes.length) {
            return false;
        }
        // 自定义临时类加载器完成字节码解析，不会将类加载到当前应用的上下文
        ClassLoader tempLoader = new ClassLoader() {
            public Class<?> defineClass(byte[] b) {
                return super.defineClass(b, 0, b.length);
            }
        };
        tempLoader.defineClass(classBytes);
        return true;
    } catch (IOException | ClassFormatError e) {
        // 抛出ClassFormatError说明字节码不符合JVM规范
        return false;
    }
}

• 该方法会完整校验字节码的所有结构，包括版本号、常量池、字段、方法、属性等所有部分是否符合JVM规范
• 校验过程不会污染当前应用的类加载上下文，无运行副作用
• 性能开销比魔数校验高，适合对校验严格度要求高的场景

内容的提问来源于stack exchange，提问作者Arkady