关键在于首次赋值后不可修改，需用Object.defineProperties配合writable: false与configurable: false实现初始化即锁定，value必须初始指定，且不可事后补锁或混用访问器。
要让业务核心敏感数据具备“单次初始化权限”，关键不是禁止读取或写入，而是限制**首次赋值后不可再修改**，同时确保该属性在对象创建初期就能被安全、明确地设定。Object.defineProperties 正适合这种批量、精确的初始化控制——它能一次性定义多个属性，并为每个属性独立设置 writable: false 和 configurable: false，实现真正意义上的“写一次、锁死一生”。
明确“单次初始化”的语义边界
所谓“单次初始化”，是指：属性在第一次被赋值（通常发生在对象构造或配置阶段）后，后续任何直接赋值操作都应静默失效（非严格模式）或抛错（严格模式），且无法通过 defineProperty 重新开启写权限。这依赖两个描述符组合：
- writable: false —— 阻止后续赋值操作生效
- configurable: false —— 锁死描述符本身，防止有人 later 调用 Object.defineProperty(obj, 'key', {writable: true}) 来绕过限制
注意：value 必须在 defineProperties 调用时就指定，不能留空或依赖后续 setter；否则就失去了“初始化即锁定”的意义。
典型配置示例：敏感凭证与运行时标识
假设你有一个支付网关配置对象，需固化商户 ID、私钥摘要、环境标识等不可篡改字段：
const gatewayConfig = {};
Object.defineProperties(gatewayConfig, {
// ✅ 敏感凭证摘要：只读、不可重配、不可删除
merchantId: {
value: 'mch_8a12b3c4d5',
writable: false,
enumerable: true,
configurable: false
},
// ✅ 私钥指纹：仅用于校验，绝不暴露原始密钥
keyFingerprint: {
value: 'sha256:ab3f9e2d1c...',
writable: false,
enumerable: false, // 不暴露在 JSON.stringify 或 for...in 中
configurable: false
},
// ✅ 环境标识：运行时确定后即冻结
env: {
value: process.env.NODE_ENV === 'production' ? 'prod' : 'sandbox',
writable: false,
enumerable: true,
configurable: false
}
});
// 尝试修改 → 静默失败（非严格模式）或报 TypeError（严格模式）
gatewayConfig.merchantId = 'hacked'; // 无效
console.log(gatewayConfig.merchantId); // 'mch_8a12b3c4d5'
避免常见陷阱
这类配置容易因理解偏差导致失效：
- 别混用 get/set 和 value：一旦加了 get 或 set，就不能再设 value 或 writable，否则报 "Invalid property descriptor"；单次初始化靠的是数据描述符，不是访问器
- 别漏设 configurable: false：只设 writable: false 是不够的，攻击者仍可用 defineProperty 把 writable 改回 true —— configurable: false 才是最终保险栓
- 别在已有属性上“补锁”：若属性已存在且 configurable: true，还能被 redefine；必须在属性首次创建时就用 defineProperties 一并定义，才能保证从诞生起就受控
- 枚举性按需设：敏感字段建议 enumerable: false，避免被 Object.keys()、JSON.stringify() 意外导出
进阶：配合闭包实现“初始化前可写”逻辑
如果业务要求“必须先调用 init() 才允许设值”，可封装一层工厂函数，在内部用闭包暂存未提交的值，仅在首次调用时透出给 defineProperties：
function createSecureConfig() {
let _initData = null;
return {
init(data) {
if (_initData !== null) throw new Error('Already initialized');
if (!data || typeof data !== 'object') throw new Error('Invalid config');
_initData = data;
Object.defineProperties(this, {
apiKey: { value: data.apiKey, writable: false, configurable: false, enumerable: false },
timeout: { value: data.timeout ?? 5000, writable: false, configurable: false, enumerable: true }
});
}
};
}
const cfg = createSecureConfig();
cfg.init({ apiKey: 'sk_live_...', timeout: 3000 });
// cfg.init(...) 再调一次会报错
