WeakMap不可迭代是关键设计，旨在防止外部探测键的存在状态以保护私有数据；它无keys()/values()/entries()方法、不支持for...of和展开运算符，JSON.stringify返回"{}"。
WeakMap 不可迭代不是 bug，而是关键设计——它从机制上杜绝了外部窥探键的存在状态，从而守住私有数据的边界。
不可迭代的具体表现
WeakMap 没有 keys()、values()、entries() 方法，也不支持 for...of 循环或展开运算符（[...wm]）。尝试调用会直接报错：
-
wm.keys()→ TypeError: wm.keys is not a function -
for (const [k, v] of wm) { }→ TypeError: wm is not iterable -
JSON.stringify(wm)→ 始终返回 "{}"（空对象）
为什么“不能遍历”等于“保护隐私”
WeakMap 的键是弱引用对象，其存活与否取决于外部是否还有强引用。而垃圾回收（GC）时机不可预测——同一段代码在不同运行时刻，某个键可能刚被回收，也可能还存在。如果允许枚举所有键，就等于暴露了 GC 的瞬时状态，导致行为非确定（non-deterministic）。
这种不确定性会破坏程序可预测性，更严重的是：攻击者可通过反复探测 has(key) 或时间侧信道，推断出某些对象是否仍被使用，进而推测业务逻辑或用户行为。不可迭代切断了这条路径，让外部永远无法“扫描”WeakMap中存了哪些对象。
与 Map 的对比凸显设计意图
普通 Map 允许完整遍历，适合做公开缓存或配置映射；WeakMap 则专为“绑定即遗忘”场景而生：
- Map：你主动管理生命周期，数据可见、可控、可调试
- WeakMap：你只关心“这个对象有没有对应值”，不关心“有哪些对象有值”，也不该关心
例如用 WeakMap 实现类私有字段时，外部连“这个实例是否已被初始化私有状态”都无法确认，自然无法绕过封装逻辑。
实际开发中的识别技巧
遇到一个集合结构，只需三步快速判断它是否具备 WeakMap 式的隐私保护能力：
- 检查 typeof wm[Symbol.iterator] —— 返回 undefined 即不可迭代
- 尝试 Object.getOwnPropertyNames(wm) —— 只返回空数组，无内部属性暴露
- 调用 wm.size —— 返回 undefined，没有长度概念
满足以上任意一项，基本可确认它遵循了弱引用+不可枚举的核心约束。
