返回原始集合引用等于放弃封装，因外部可直接修改内部状态而绕过校验。应返回不可变视图或副本，如Java用Collections.unmodifiableList、Python用copy()、C#用AsReadOnly()。
直接把集合变量（如 List、Map）以 public 字段或 getter 返回原始引用，是状态破坏最隐蔽也最常见的源头。问题不在于“用了集合”，而在于“交出了控制权”——外部代码拿到的是同一份内存对象，可随时增删改，而你的类对此毫无感知。
为什么返回原始集合引用等于放弃封装
Java、C#、Python 等语言中，集合类型多为引用类型。一旦通过 public 成员变量或无防护的 getter 暴露，调用方拿到的不是副本，而是指向内部数据的“钥匙”。
-
Java 示例：
public class OrderService {
private ListpendingOrders = new ArrayList();
public ListgetPendingOrders() { return pendingOrders; } // 危险！
}
外部代码可直接调用service.getPendingOrders().add(new Order())，绕过你所有业务校验逻辑。 -
Python 示例：
class Config:
def __init__(self):
self.features = ['login', 'payment']
def get_features(self):
return self.features # 返回原列表引用
调用方执行cfg.get_features().append('analytics')，就已污染内部状态。
常见但危险的暴露方式
这些写法看似方便，实则打破封装边界：
- public 字段直接声明集合（如
public List<string> tags;</string>） - getter 方法直接返回私有集合字段（未做防御性拷贝）
- 构造函数接收集合参数后，未深拷贝即赋值给成员变量
- Builder 模式中，集合字段被 builder 外部修改后传入
安全返回集合的 3 种可靠做法
核心原则：对外提供只读视图或独立副本，切断外部对内部数据结构的直接操作路径。
-
Java：用不可变包装或只读视图
– 返回Collections.unmodifiableList(pendingOrders)
– 或 Java 9+ 直接用List.copyOf(pendingOrders)（返回不可变副本）
– 若需频繁读取且写操作极少，考虑CopyOnWriteArrayList -
C#：用 AsReadOnly() 或 LINQ ToList()
–public IReadOnlyList<order> PendingOrders => _pendingOrders.AsReadOnly();</order>
– 或return _pendingOrders.ToList();（返回新列表） -
Python：显式复制或封装
– getter 中返回self._features.copy()或tuple(self._features)
– 使用@property并配合typing.Sequence类型提示，暗示只读语义
额外防线：从设计源头规避风险
比修补 getter 更根本的是重构接口契约：
- 避免提供“获取整个集合”的方法；转而提供语义化查询，如
getPendingOrderCount()、findOrderById(id) - 若必须支持外部增删，定义明确的委托方法：
addPendingOrder(Order o)、removePendingOrder(id)，在其中嵌入校验与事件通知 - 在模块导出层面控制可见性（如 Java 的 module-info.java、C# 的 internal 修饰符），防止跨模块直接访问内部集合
