record 与 sealed：用 Java 写代数数据类型

record 的编译形态01

record 编译成 final class，隐式继承 java.lang.Record。组件变成 private final 字段和同名访问器；equals / hashCode / toString 不是逐行手写，而是通过 invokedynamic 链接到 ObjectMethods 的启动方法。

$ javap -p Point.class
Compiled from "Point.java"
public final class Point extends java.lang.Record {
  private final int x;
  private final int y;
  public Point(int, int);
  public Point translate(int, int);
  public final java.lang.String toString();
  public final int hashCode();
  public final boolean equals(java.lang.Object);
  public int x();
  public int y();
}

$ javap -p -c Point.class | grep invokedynamic
       1: invokedynamic #26,  0  // InvokeDynamic #0:toString:(LPoint;)Ljava/lang/String;
       1: invokedynamic #30,  0  // InvokeDynamic #0:hashCode:(LPoint;)I
       2: invokedynamic #34,  0  // InvokeDynamic #0:equals:(LPoint;Ljava/lang/Object;)Z

ObjectMethods.bootstrap 接收组件名、访问器句柄和 toString 模板，在第一次调用时生成方法体。这样 JVM 不需要为每个 record 复制一份 equals 逻辑，语义也由语言规范统一保证。

• record 是 final，不能通过继承改变 equals/hashCode 的契约。
• 不能添加实例字段，保证「组件列表 = 全部状态」。
• 紧凑构造器在字段赋值前执行，适合校验和归一化。
• 数组组件的 equals 按引用比较；需要内容比较时必须显式重写。

sealed 的 class 文件与约束02

sealed 在 class 文件里体现为 PermittedSubclasses 属性。JVM 用它记录允许的直接子类型；反射的 getPermittedSubclasses() 读取的也是同一份信息。

$ javap -v Shape.class | grep -A2 "PermittedSubclasses:"
PermittedSubclasses:
  Circle
  Square

• permits 省略时，编译器把同一编译单元中的直接子类型写入 PermittedSubclasses。
• 命名模块中，子类型必须同模块；未命名模块中，必须同包。
• 每个直接子类型必须声明 final、sealed 或 non-sealed，不能留空。
• non-sealed 会重新打开继承，这一支不再参与穷尽性计算。
• sealed 只约束继承，不约束实例化；构造器可见性才决定能否 new。

sealed 的封闭性主要在编译期和 class 文件层面表达，不是 JVM 的运行期访问控制。不要把它当成安全边界；它约束的是类型设计，不是恶意代码。

穷尽性由谁检查03

穷尽性由 javac 在编译期检查，依据是 selector 的静态类型和 permitted 子类型集合。17 的 switch 类型模式是预览，编译后会通过 invokedynamic 链接到 SwitchBootstraps.typeSwitch，运行时按模式顺序匹配。

sealed interface Expr permits Num, Add {}
record Num(int value) implements Expr {}
record Add(Expr left, Expr right) implements Expr {}

static int eval(Expr e) {
    return switch (e) {
        case Num n -> n.value();
    };
}

javac -J-Duser.language=en --release 17 --enable-preview MissingCase.java

MissingCase.java:7: error: the switch expression does not cover all possible input values
        return switch (e) {
               ^
1 error

如果补上 case Add a，编译通过；如果加 default，也能通过，但新增变体时不会再报错。default 把「穷尽性检查」降级成「兜底逻辑」，这是设计上的取舍，不是语法问题。

$ javap -p -c AdtDemo.class | grep typeSwitch
      11: invokedynamic #13,  0  // InvokeDynamic #0:typeSwitch:(Ljava/lang/Object;I)I

建模：事件与状态01

订单事件是典型的「有限变体，每个变体数据不同」。用 sealed interface 定义变体集合，用 record 定义每个变体的数据，再用预览 switch 做分支，可以把「漏处理事件」变成编译错误。

sealed interface Event permits Created, Paid, Shipped {}
record Created(String id) implements Event {}
record Paid(String id, int cents) implements Event {}
record Shipped(String id, String carrier) implements Event {}

static String describe(Event e) {
    return switch (e) {
        case Created c -> "created " + c.id();
        case Paid p && p.cents() > 0 -> "paid " + p.cents();
        case Paid p -> "invalid payment";
        case Shipped s -> "shipped via " + s.carrier();
    };
}

Event[] events = {
        new Created("A1"),
        new Paid("A1", 1200),
        new Paid("A1", 0),
        new Shipped("A1", "SF")
};
for (Event e : events) {
    System.out.println(describe(e));
}

created A1
paid 1200
invalid payment
shipped via SF

注意 Paid 出现了两次：带守卫的分支在前，无守卫的兜底分支在后。守卫分支不证明穷尽，编译器仍要求后面有覆盖 Paid 的分支。

渐进迁移：从 if 链到 ADT02

1. 先识别「有限变体」：状态机、事件、AST、协议消息。变体由你控制、不会第三方扩展，才适合 sealed。
2. 把每个变体改成 record，组件只保留该变体真正需要的数据；不要把所有字段堆进一个大类。
3. 用 sealed interface 封闭变体集合，先保留现有 if / instanceof 逻辑，确保行为不变。
4. 在测试覆盖后，把 if 链改成预览 switch（17）或等升级到 21 再正式使用；预览代码隔离在适配层。
5. 新增变体时先让编译失败，再逐个补分支；不要用 default 图省事。

边界与反模式03

• 不要为了用 sealed 而封闭公共 SPI：第三方无法实现，扩展点就死了。
• 不要把所有领域对象都改成 record：需要生命周期、缓存、连接、监听器的对象不适合。
• 不要在 sealed switch 里加 default 后又声称「穷尽性受保护」；default 已经让保护失效。
• 不要把预览 switch 暴露到公共 API；升级 JDK 时语法和类文件都会变。
• 不要忽略二进制兼容：新增 permitted 子类型会让外部已编译的穷尽 switch 不再覆盖新类型。
• record 的数组组件要显式处理 equals/hashCode；默认按引用比较。

ADT 的价值在「非法状态不可表示」和「新增变体必须处理」，不在语法本身。如果类型集合其实是开放的，或者变体之间没有共同语义，强行 sealed 只会增加维护成本。

先猜再看01

费曼自检：能否讲清因果02