Object.assign在配置系统中实现插件化浅合并：按加载顺序覆盖同名属性，不递归嵌套；通过原型链组织默认配置，运行时提取合并；需过滤危险键并校验值类型，确保安全。

理解 Object.assign 在配置系统中的角色

Object.assign 本身只做浅合并，适合处理“一层配置覆盖”：后面传入的对象会直接替换同名属性，不会递归合并嵌套结构。这恰恰是插件化配置需要的语义——每个插件提供自己的配置片段，按加载顺序逐层覆盖，而不是强行融合所有字段。比如一个弹窗插件改了 theme 和 zIndex，就不该影响表单插件的 validationRules 字段。

用原型链组织插件配置层级

把不同插件的默认配置挂到各自的原型上，再通过 Object.assign 按需“提取”并合并：

• 定义基础配置构造函数：function BaseConfig() { this.timeout = 3000; this.retries = 2; }
• 为插件创建子类原型：PluginA.prototype = Object.create(BaseConfig.prototype); 并在上面设置 PluginA.prototype.apiHost = 'https://a.example.com';
• 同样地，PluginB.prototype.apiHost = 'https://b.example.com'; PluginB.prototype.debug = true;
• 运行时合并时，先用 Object.assign({}, BaseConfig.prototype, PluginA.prototype, PluginB.prototype) 提取所有可枚举自有属性——这样既复用原型继承关系，又避免污染原对象

实现“插件级覆盖”而非“字段级合并”

关键不是让 apiHost 自动拼接或合并，而是明确谁最后声明谁生效。例如：

• 插件 A 声明：{ api: { timeout: 5000, host: '/v1' } }
• 插件 B 声明：{ api: { host: '/v2', version: 'beta' } }
• 用 Object.assign({}, defaults, pluginAConf, pluginBConf) 后，api 整体被替换为插件 B 的对象，api.timeout 不再存在——这正是插件意图：B 全面接管 API 配置
• 若需保留部分字段（如 timeout），应由插件 B 主动显式写出，而非依赖自动深合并

安全过滤与运行时防护

从插件加载的配置可能来自第三方，需防范原型污染和意外类型：

• 合并前过滤危险键：['__proto__', 'constructor', 'prototype']，跳过这些属性的复制
• 跳过非 plain object 类型：对每个源对象的属性值做检查，Array.isArray(val) || val instanceof Date || val instanceof RegExp 就不递归也不覆盖，保持默认值
• 始终以空对象为 target：Object.assign({}, ...)，防止插件意外修改全局原型或默认配置实例