Java中String不可变性结合private final修饰，从机制上杜绝非法修改，确保类属性如roleName等敏感标识在运行期恒定可信。
Java中String的不可变性，并不是为了“锁死变量”，而是让字符串内容本身成为可信的、可验证的载体——尤其在涉及类属性、配置项、权限标识等关键字段时，它从机制上切断了非法修改的路径。
类属性中使用String能防篡改，关键在于引用不变 + 内容固化
当一个类用String字段保存敏感标识（如private final String roleName = "ADMIN"），这个值一旦初始化，就无法被外部代码通过常规方式变更。哪怕攻击者拿到该对象引用，也无法调用任何public方法去改写roleName内部的字符序列。JVM不提供setCharAt()、setValue()这类接口；反射虽理论上可行，但属于破坏JVM契约的非常规操作，在Java 9+模块系统下还会触发InaccessibleObjectException，日常开发和安全审计中不予考虑。
final修饰字段 + 不可变String = 双重防护
-
private final String：既阻止字段被重新赋值，又依赖String自身不可变，确保其指向的对象内容恒定 - 没有setter方法、不暴露底层数组、所有变换操作返回新对象（如
roleName.toUpperCase()生成新串，原"ADMIN"丝毫不动） - 即使类本身没加
final，只要String字段是final且初始化为字面量或安全构造，其值在运行期就具备事实上的只读性
常见易错场景与正确做法
- ❌ 错误：
public String roleName;→ 外部可直接obj.roleName = "HACKER"，且新字符串仍可能被进一步篡改（虽然String对象不可变，但字段本身可重赋） - ✅ 正确：
private final String roleName;+ 构造器注入或静态初始化 → 值绑定在实例生命周期内，不可替换、不可擦写 - ⚠️ 注意：若通过
new String(byte[], charset)构造，需确认传入字节数组未被外部持有并修改（String构造器已做防御性拷贝，但源头仍需可控）
延伸到安全校验链路
比如Spring Security中Authentication.getPrincipal()返回的用户名、Shiro中Subject.getPrincipals()里的身份标识，都依赖String不可变来保证：
- 日志组件记录用户名时不会被后续过滤器覆盖
- 权限决策引擎比对
"ROLE_ADMIN"时，该字符串不会在传递途中变成"ROLE_USER" - 安全管理器检查
checkPermission(new RuntimePermission("setSecurityManager"))时，权限名字符串始终精确匹配策略配置
本质上，String不可变不是给开发者设限，而是把“谁有权改、何时能改、改了影响谁”这些不确定性，压缩为零——让类属性真正成为可信锚点。
立即学习“Java免费学习笔记（深入）”；
