闭包实现私有方法调用的核心是将辅助逻辑定义在函数体内且不挂载到返回对象上，使其仅能被同作用域的公有方法通过词法作用域访问；私有函数必须不暴露为返回对象属性，避免命名约定或调试接口泄露，且每次工厂调用生成独立副本。
闭包实现私有方法调用，核心是让辅助逻辑“藏在函数体内、不挂到返回对象上”，只允许公有方法通过词法作用域间接触发它。外部既看不到函数名，也无法直接调用，真正切断访问路径。
私有方法必须定义在闭包内部，且不暴露为返回对象的属性
把校验、格式化、签名等辅助逻辑写在工厂函数或 IIFE 内部，但不要赋值给 return 对象的某个键：
- ✅ 正确：function validateEmail(email) { return /^[^\s@]+@[^\s@]+\.[^\s@]+$/.test(email); }，然后在 submit() 中调用 validateEmail(input)
- ❌ 错误：validate: validateEmail 或 privateValidate: validateEmail —— 这样外部可直接调用，私有性失效
公有方法靠闭包引用自然访问私有函数
返回对象里的方法（如 save()、login()）和私有函数共享同一词法环境，无需额外绑定或传参就能调用：
- 它们都在同一个函数作用域内定义，JavaScript 引擎自动建立作用域链引用
- 即使私有函数在 return 语句上方定义，公有方法仍能访问——顺序不影响闭包捕获
- 箭头函数或普通 function 均可，this 不参与作用域查找，所以无指向风险
避免常见破防操作
看似封装，实则泄露，几类典型错误要避开：
- 别把私有变量或函数作为属性直接返回，例如 { _validator: validateEmail } 或 { rawConfig: config }
- 别提供 dump()、getState()、getInternal() 这类调试接口，除非明确用于开发环境且带开关控制
- 别用命名约定代替机制，_doSecret() 仍是公开属性，Object.keys(module) 能列出，也能被重写
多实例场景下，每个闭包环境自带独立私有方法副本
工厂函数每次调用都会生成全新作用域，私有函数不是共享的，而是各自独立存在：
- createApi({ env: 'prod' }) 和 createApi({ env: 'dev' }) 各有一套 validateToken、logRequest、maskData
- 不同实例的同名私有函数互不影响，哪怕代码完全一样，也是两个内存中的函数实体
- 适合需要差异化行为的模块，比如按用户角色加载不同权限校验逻辑
