私有字段是防御子类篡改父类关键状态最直接有效的机制——它从语言层面切断子类对字段的直连通道，迫使所有状态变更必须经过父类预设的、可校验的接口。
私有字段（private）是 class 语法中防御子类篡改父类关键状态最直接有效的机制——它从语言层面切断子类对字段的直连通道，迫使所有状态变更必须经过父类预设的、可校验的接口。
私有字段天然阻断子类直接访问
在 Java 或 TypeScript 等支持显式 private 修饰符的语言中，父类声明为 private 的字段，子类无法在编译期读取或赋值：
- 写
this.field = ...会触发编译错误，不是警告，而是硬性拦截 - 子类中同名字段只是新建局部变量，不会覆盖或影响父类实例状态
- 这不同于 Python 的
__name或 Go 的小写首字母——它们仅靠约定或包级限制，而private是编译器强制执行的访问边界
必须通过父类提供的受控方法更新状态
私有字段不等于“不可变”，而是“不可裸改”。子类要修改状态，只能调用父类公开的 setter 或业务方法，而这些方法内部可嵌入完整防护逻辑：
- 校验输入合法性：如取款金额不能为负、余额不能低于透支阈值
- 维护数据一致性：修改余额时同步更新最后操作时间、触发审计日志
- 支持后续演进：日后增加风控规则、多币种转换等，只需改方法内部，子类代码零改动
避免反射绕过带来的风险
虽然反射（setAccessible(true)）可在运行时突破 private 限制，但这属于显式越权行为，可通过以下方式大幅提高攻击成本：
- 启用安全管理器（SecurityManager），禁止非授信代码调用
setAccessible - 在关键类的构造或初始化阶段，使用
final修饰字段，并配合不可变返回值（如Collections.unmodifiableList） - 生产环境禁用调试类加载器，限制动态类生成能力
配合 final 和不可变设计加固防线
对真正不可变的关键状态，应组合使用多个防护层：
- 字段声明为
private final，杜绝运行时重赋值 - 若类型为可变对象（如
List、Map），getter 返回防御性拷贝或只读视图 - 构造函数完成全部初始化，之后不再提供任何 setter —— 状态只读，彻底消除篡改入口
