Object.freeze() 仅浅冻结，无法锁定嵌套对象；需递归调用 deepFreeze 并在模块导出前执行，配合 Object.isFrozen 校验与 CSP 防护才能确保配置安全。
Object.freeze() 不能彻底锁定嵌套对象，对业务配置文件仅调用一次 Object.freeze() 是无效的——它只冻结第一层属性，深层对象仍可被修改。
为什么 Object.freeze() 对配置文件“看起来生效”但实际失效
前端配置常以嵌套对象形式存在（如 config.api.baseURL、config.features.auth），而 Object.freeze() 是浅冻结：它会将对象自身设为不可扩展、不可删除、不可重定义属性，但不会递归冻结其属性值。如果某个属性值是另一个对象，该子对象依然可写。
典型错误现象：
– 配置对象打印时显示 [[Extensible]]: false，让人误以为“已锁死”
– 第三方库（如某些 UI 组件、埋点 SDK）内部执行 config.features = {...} 失败，但执行 config.features.analytics = true 却成功
– 某些环境（如 Vue 2 响应式系统）甚至会主动解冻对象用于依赖追踪，进一步破坏冻结状态
真正安全的冻结方式：递归冻结 + 属性访问控制
必须手动递归遍历所有属性，对每个对象类型值重复调用 Object.freeze()；同时需防止原型链污染和 getter/setter 绕过。
立即学习“前端免费学习笔记（深入）”；
前端设计与 UI/UX 全方位优化专家。覆盖视觉层次、排版系统、色彩理论、响应式布局、交互体验、动画动效、无障碍访问、性能优化八大维度，帮助开发者将普通页面升级为高品质产品级界面。前端设计与 UI/UX 全方位优化专家。覆盖视觉层次、排版系统、色彩理论、响应式布局、交互体验、动画动效、无障碍访问、性能优化八大维度，帮助开发者将普通页面升级为高品质产品级界面。
- 使用
Object.getOwnPropertyDescriptors()获取所有自有属性（含不可枚举、getter/setter） - 对每个 descriptor 的
value，若为对象且非 null、非 Date/RegExp/ArrayBuffer 等内置类型，递归冻结 - 对含
get或set的 descriptor，保留原访问器，不覆盖为数据属性 - 冻结后立即调用
Object.preventExtensions()（虽freeze已包含此操作，但显式声明更清晰）
示例简化版实现：
function deepFreeze(obj) {
if (obj == null || typeof obj !== 'object') return obj;
// 跳过内置不可变对象（避免报错）
if (obj instanceof Date || obj instanceof RegExp || obj instanceof ArrayBuffer) return obj;
Object.getOwnPropertyNames(obj).forEach(prop => {
if (obj[prop] !== null && typeof obj[prop] === 'object') {
deepFreeze(obj[prop]);
}
});
return Object.freeze(obj);
}
配合模块封装与导入时机，堵住运行时篡改入口
即使对象被深度冻结，若第三方库在你冻结前就拿到了引用，后续仍可通过该引用修改——关键在于「冻结必须发生在任何外部代码拿到引用之前」。
- 配置模块应使用
export const config = deepFreeze({...})，而非先export let config = {...}再冻结 - 避免在模块顶层直接导出未冻结对象，再在别处调用冻结函数（此时 import 侧可能已持有原始引用）
- 若需兼容 UMD 或 script 标签加载，将配置定义为 IIFE 内部变量，并只暴露冻结后的只读访问器：
Object.defineProperty(window, 'APP_CONFIG', { value: deepFreeze(config), writable: false }) - 注意 Webpack/Vite 的 tree-shaking 行为：确保冻结逻辑不被误删（例如不要把
deepFreeze写在条件分支里且该分支从未执行）
验证是否真被冻结：别只看 console.log()
浏览器控制台对冻结对象的显示有误导性（比如展开后仍允许编辑字段），真实校验必须靠代码断言：
- 检查
Object.isFrozen(config)和每一层子对象的Object.isFrozen(config.api) - 尝试赋值并捕获异常：
config.api = {}; // 应抛出 TypeError（严格模式下）或静默失败（非严格） - 在非严格模式下，失败赋值不报错但返回
false，可用Object.defineProperty(config, 'test', { value: 1 })测试是否能添加新属性
最易被忽略的是：冻结后仍可通过 Object.setPrototypeOf(config, null) 修改原型链，若需绝对隔离，应额外调用 Object.seal() 或显式移除 __proto__ 访问（但后者不跨浏览器）。生产环境建议配合 CSP 限制 unsafe-eval 和内联脚本，从源头降低第三方任意执行风险。
