JarInputStream用于流式遍历JAR内容，逐个读取JarEntry，不加载全文件到内存；需传入mark-supported输入流，自动解析MANIFEST.MF，通过getNextJarEntry()循环获取条目，目录以/结尾，须校验路径防遍历，推荐用于单次扫描场景。
Java中用JarInputStream枚举JAR归档内容，核心是逐个读取JarEntry对象，同时利用其继承自ZipInputStream的流式特性——它不加载整个文件到内存，适合处理大JAR或资源受限场景。
构造JarInputStream并遍历条目
必须传入支持标记（mark-supported）的InputStream，通常用FileInputStream或带缓冲的BufferedInputStream。注意：JarInputStream会自动读取并验证MANIFEST.MF（如果存在），所以首次调用getNextJarEntry()前，清单已解析完毕。
- 用
getNextJarEntry()循环获取每个条目，返回null表示结束 - 每个
JarEntry包含名称、大小、压缩大小、时间戳、是否目录等元数据 - 调用
getInputStream(JarEntry)可获取该条目的解压后字节流（仅对非目录条目有效）
区分文件与目录条目
JAR中目录条目以/结尾，isDirectory()方法返回true；但某些打包工具可能省略显式目录条目，只靠文件路径隐含目录结构。因此不能仅依赖isDirectory()判断是否存在某目录，而应解析所有条目路径进行路径前缀匹配。
- 检查
entry.getName().endsWith("/")是更可靠的目录标识方式 - 对普通文件条目，可用
entry.getSize()获原始大小，entry.getCompressedSize()获压缩后大小 - 跳过目录条目时，仍需调用
getNextJarEntry()继续迭代，否则会中断遍历
安全与异常处理要点
JarInputStream在读取损坏JAR或恶意构造的条目时可能抛出IOException或SecurityException（如签名验证失败）。MANIFEST中的签名块（.SF/.DSA/.RSA）会在构造时或首次读取时触发校验。
立即学习“Java免费学习笔记（深入）”；
- 务必在
try-with-resources中管理流，确保底层InputStream被关闭 - 捕获
IOException处理I/O错误，对SecurityException需明确是否允许不签名JAR - 避免直接用用户输入的路径名构造
JarEntry，防止路径遍历（如../etc/passwd）——枚举本身不执行路径访问，但后续用getInputStream()读取时需校验名称合法性
与JarFile的对比选择
JarFile是随机访问模式，内部使用RandomAccessFile，支持stream()、entries()、getJarEntry(String)等便捷方法，适合需多次查找或按名读取的场景；而JarInputStream是纯顺序流式读取，内存占用低，适合一次扫描、过滤或统计用途。
- 若只需遍历所有条目且不反复查询，优先选
JarInputStream - 若需快速定位某个类或资源（如
findClass()逻辑），JarFile更合适 -
JarInputStream无法回退或重读已跳过的条目，不可重复使用
基本上就这些。关键在于理解它是流式、单向、带清单预处理的ZIP子集处理器，用对场景才能发挥优势。
