闭包是函数与其词法环境的组合，能访问并记住外部作用域变量；真正提供块级作用域的是let/const，闭包则用于封装私有状态、防重复执行、保护配置、模拟私有方法及兼容旧环境。
闭包本身不是用来“定义块级作用域”的工具，而是利用函数作用域链捕获外部变量的机制；真正提供块级作用域的是 let 和 const（ES6+）。但闭包可以配合块级作用域，封装私有状态、避免全局污染，并构建向前兼容的安全防御逻辑——比如防重复执行、防篡改、防未定义调用等。
用闭包封装初始化逻辑，防止多次执行
很多防御脚本（如 polyfill 注入、事件监听器预设）只需运行一次。借助闭包 + 块级作用域变量，可确保内部状态不被外部干扰，且执行逻辑不可重入。
- 在立即执行函数中用
let executed = false定义私有标志位 - 返回一个函数，每次调用前检查
executed，已执行则直接 return - 即使脚本被多次加载（如老版本 CDN 和新版本共存），也不会重复生效
用闭包保护关键配置，防止被外部覆盖
安全防御常依赖白名单、超时阈值、API 路径等配置。若直接挂到 window 上，易被恶意脚本篡改。闭包可将配置“锁”在函数作用域内。
- 把配置对象定义在闭包外层函数中，仅暴露只读接口（如
getConfig().timeout） - 不返回原始引用，避免浅拷贝漏洞；必要时用
Object.freeze()冻结返回对象 - 配合
const声明，从语法和运行时双重加固
用闭包模拟私有方法，隔离敏感操作
例如防 XSS 的 HTML 清洗、防暴力请求的节流器、或 DOM 操作前的合法性校验。这些逻辑不应被随意调用，也不应暴露实现细节。
- 将校验函数、清洗函数等定义在闭包内部，不挂载到任何全局对象上
- 只向外暴露经过包装的、带前置守卫的函数（如
safeInsertHTML(el, str)） - 守卫逻辑可检查调用栈（
new Error().stack）、来源域、或是否在预期上下文中调用
兼容旧环境时，闭包 + IIFE 是可靠基础
在不支持 let/const 的老旧浏览器（如 IE8–9）中，闭包仍是唯一可靠的私有作用域方案。此时需用立即执行函数表达式（IIFE）模拟块级作用域语义。
- 写法：
(function(){ let safe = {}; /* ... */ })();—— 即使let不被识别，也可改用var配合命名空间前缀 - 所有防御逻辑封装在 IIFE 内，对外只暴露一个命名清晰的全局入口（如
window.__defender），并加存在性判断避免冲突 - 通过
typeof检测 API 是否可用（如Promise、fetch），再决定启用哪套闭包策略
本质上，闭包不是银弹，但它让“防御逻辑自包含、状态自管理、接口自约束”成为可能。关键是把该藏的藏住，该守的守住，而不是堆砌技巧。
