由於 Inner class 轉譯成 Java 位元程式碼的方式，導致它會帶來一些安全性問題。在 Java 原始程式碼中，inner class 只能由一個封裝類別來聲明它是可存取的，但是 Java 位元組程式碼並沒有 inner class 的概念，所以編譯器必須把一個 inner class 的聲明轉換成與 package 有同等地位的類別 (有權存取來源外部類別)。由於 inner class 可以存取在封裝類別中的 private 欄位，一旦某個 inner class 成為在位元組碼中的同等類別時，此編譯器會把 inner class 所存取的 private 欄位轉換成 protected 欄位，這一點具有潛在的危險性。

範例 1：以下的 Java Applet 程式碼使用 inner class 的方法錯誤。

public final class urlTool extends Applet {
private final class urlHelper {
	...
}
	...
}

行動程式碼，在這個示例中也就是 Java Applet，是一種跨網路傳輸，並且可在遠端機器上執行的程式碼。因為行動程式碼的編寫者很難控制他們編寫的程式碼的執行環境，所以在安全上提出特別的要求是有必要的。其中一個最大的環境威脅在於，行動程式碼可以伴隨著其他的潛在惡意的行動程式碼一起運作。因為所有主流的瀏覽器會使用同一個 JVM 執行來自多個資源的程式碼，所以許多安全規範都把注意力集中在可以存取您的程式碼運行的 JVM 攻擊者，避免他們竄改您的物件狀態和運作方式。

finalize() 的執行中呼叫 super.finalize()，否則請勿明確地呼叫 finalize。在行動程式碼中，易於發生錯誤的手動垃圾收集操作會威脅系統的安全，由於 finalize() 的聲明中包含對 public 的存取，因此會造成攻擊者的惡意呼叫。如果您按照 finalize() 的設計來使用它，則應首先聲明 finalize() 包含 protected 的存取權。

範例 1：下列 Java Applet 程式碼錯誤地聲明了一個 public finalize() 方法。

public final class urlTool extends Applet {
public void finalize() {
	...
}
	...
}

行動程式碼，在這個示例中也就是 Java Applet，是一種跨網路傳輸，並且可在遠端機器上執行的程式碼。因為行動程式碼的編寫者很難控制他們編寫的程式碼的執行環境，所以在安全上提出特別的要求是有必要的。其中一個最大的環境威脅在於，行動程式碼可以伴隨著其他的潛在惡意的行動程式碼一起運作。因為所有主流的瀏覽器會使用同一個 JVM 執行來自多個資源的程式碼，所以許多安全規範都把注意力集中在可以存取您的程式碼運行的 JVM 攻擊者，避免他們竄改您的物件狀態和運作方式。

在大多數情況下，把一個陣列聲明為 public、final 和 static 是一個錯誤 (bug)。由於陣列是一個可變的物件，因此 final 限制會要求陣列物件本身只能被分配一次，但是不能保證陣列的元件的值也是如此。由於陣列是公用的，因此惡意的程式可以變更儲存在陣列中的值。所以，在大多數情況下，應該將陣列設定為 private。

範例 1：下列 Java Applet 程式碼錯誤地將一個陣列聲明為 public、final 和 static。

public final class urlTool extends Applet {
public final static URL[] urls;
	...
}

行動程式碼，在這個示例中也就是 Java Applet，是一種跨網路傳輸，並且可在遠端機器上執行的程式碼。因為行動程式碼的編寫者很難控制他們編寫的程式碼的執行環境，所以在安全上提出特別的要求是有必要的。其中一個最大的環境威脅在於，行動程式碼可以伴隨著其他的潛在惡意的行動程式碼一起運作。因為所有主流的瀏覽器會使用同一個 JVM 執行來自多個資源的程式碼，所以許多安全規範都把注意力集中在可以存取您的程式碼運行的 JVM 攻擊者，避免他們竄改您的物件狀態和運作方式。

在 Applet 和其所使用的類別中，所有 public 成員變數都應該聲明 final，以避免攻擊者未經授權竄改或取得對 Applet 內部狀態的存取權。

範例 1：下列 Java Applet 程式碼錯誤地把成員變數聲明為 public，而不是 final。

public final class urlTool extends Applet {
public URL url;
	...
}

行動程式碼，在這個示例中也就是 Java Applet，是一種跨網路傳輸，並且可在遠端機器上執行的程式碼。因為行動程式碼的編寫者很難控制他們編寫的程式碼的執行環境，所以在安全上提出特別的要求是有必要的。其中一個最大的環境威脅在於，行動程式碼可以伴隨著其他的潛在惡意的行動程式碼一起運作。因為所有主流的瀏覽器會使用同一個 JVM 執行來自多個資源的程式碼，所以許多安全規範都把注意力集中在可以存取您的程式碼運行的 JVM 攻擊者，避免他們竄改您的物件狀態和運作方式。