使用 Collections.unmodifiableSet() 包装核心配置集合可防止外部直接修改，但需在初始化完成时立即封装并置空原始引用；它仅提供只读视图，非深拷贝，底层集合若被其他代码修改则视图仍会变化，推荐改用 Set.copyOf() 或 ImmutableSet.of()。
用 Collections.unmodifiableSet() 包装核心配置集合，是防止外部代码直接修改的轻量级防护手段——它不阻止你内部更新，只拦截外部的 add/remove/clear 等操作，抛出 UnsupportedOperationException。
包装时机要早，最好在初始化完成时立刻封装
不要等到返回给调用方前才包装。在配置加载完毕、校验通过后，立即用 unmodifiableSet() 封装原始集合，并将原始引用设为 null 或转为私有只读字段：
- 避免中途被其他模块误改原始集合
- 确保所有 getter 方法返回的都是不可修改视图
- 例如：private final Set
ALLOWED_ROLES = Collections.unmodifiableSet(new HashSet(Arrays.asList("ADMIN", "USER")))
注意底层集合仍可能被间接修改
unmodifiableSet() 返回的是一个“只读视图”，不是深拷贝。如果原始集合对象本身被其他地方持有并修改，视图内容也会变：
- 解决办法：用不可变实现替代，如
Set.copyOf()（Java 10+）或ImmutableSet.of()（Guava） - 若必须用
unmodifiableSet()，确保原始集合生命周期内不再被任何代码修改 - 常见陷阱：从数据库或配置文件动态加载后未做防御性拷贝，仅套一层 unmodifiable
配合 private final + 构造器注入，杜绝外部替换
仅防修改还不够，还要防替换。把集合声明为 private final，并通过构造器或静态块初始化：
- 禁止 setter 方法暴露集合引用
- 禁止 getter 返回原始类型（如
Set），应明确返回Set<t></t>接口类型 - 若需更新配置，提供专用方法（如
refreshRoles(Set<string> newRoles)</string>），内部重新创建不可修改视图
日志与断言辅助排查意外修改
运行期偶尔出现 UnsupportedOperationException 可能说明某处试图修改——这不是错误，而是保护生效。可在关键路径加简单日志或断言帮助定位：
- 在 catch 块中记录堆栈（仅开发/测试环境）
- 对高敏感配置，用
Objects.requireNonNull(set, "Config set must not be null")防空指针 - 单元测试中主动调用
set.add("test")，验证是否真的抛异常
