最有效做法是在祖先组件provide阶段就用readonly包装配置对象。即拿到原始配置后立即readonly(reactive({}))或readonly(ref({}))，再provide注入；而非传入后再在子组件中调用readonly，否则原始引用可能已泄露，防护失效。
直接在祖先组件 provide 时用 readonly 包装配置对象，是防止子孙组件篡改的最有效做法。关键不是“传完再保护”，而是在数据流出源头就设防。
在 provide 阶段就包装只读代理
祖先组件拿到原始配置后，立刻用 readonly 创建只读代理，再通过 provide 注入：
- ✅ 正确写法：
const safeConfig = readonly(reactive({ apiBase: 'https://prod', db: { host: 'db-prod' } }))→provide('appConfig', safeConfig) - ❌ 错误写法：先
provide('appConfig', config)，再让子组件自己调readonly(props.config)——此时原始引用可能已被传递，防护失效 - 若配置来自
ref（如const configRef = ref({...})），则用readonly(configRef)，这样.value赋值也会被拦截
子孙组件接收后自然受保护
后代组件通过 inject 拿到的已是只读代理，任何修改都会被拦截：
vue-component-analyzer
下载
递归分析 Vue 项目组件依赖，从入口文件生成组件层级图，支持 Vue 2/3，输出组件名、文件路径和属性。适用于分析组件结构、排查依赖或了解项目架构。
- 尝试
config.apiBase = 'http://test'→ 开发环境立即报Set operation on key "apiBase" failed: target is readonly - 嵌套赋值如
config.db.host = 'hacked'同样触发警告，无需额外处理 - 删除属性、添加新字段、重写整个对象（
config = {...}）全部被阻止
配合响应式类型与静态检查更稳妥
readonly 是运行时防护，建议叠加开发阶段约束：
立即学习“前端免费学习笔记（深入）”；
- 在
defineProps或inject中使用 TypeScript 类型标注，例如inject<Readonly<AppConfig>>('appConfig') - 启用 ESLint 插件规则
vue/no-mutating-props和@typescript-eslint/prefer-readonly-parameter-types - 避免在
provide时混入普通对象（如 API 返回的 plain object），它们不会被readonly深度保护；应先转为reactive或用shallowRef+ 手动冻结
别忽略基础设施层的协同防护
readonly 只管 JS 层访问路径，需搭配其他手段形成闭环：
- Docker 容器挂载配置文件时加
:ro标志，从文件系统层阻断写入 - 数据库连接串若存于配置中，确保应用连接的是
read_only = ON的从库 - 配合 Pinia store 使用时，对外暴露
readonly(store.state)，而非原始state
