CommonJS导出引用类型是安全的内存地址传递，不会自动污染原值；污染仅发生在接收方误改共享对象时，关键在使用方式而非导出机制。
CommonJS 导出引用类型本身不会自动污染原值，关键在于使用方式——导出的是引用，但污染发生在接收方或后续操作中误改共享内存。只要不主动修改导出对象的属性，就不会影响原始模块内的状态。
导出时无需拷贝，引用传递是安全的
CommonJS 的 module.exports = obj 只传递内存地址，不复制数据。模块内部的原始对象和 require 返回的对象指向同一块堆内存，这是高效的设计，不是漏洞。
- 如果导出的是配置对象、工具函数集合等只读结构，直接导出完全安全
- 模块首次加载后，该对象被缓存；所有
require()都返回同一个引用，节省内存 - 真正风险不在“导出”，而在“谁改了它”——比如某个使用方执行了
mod.config.timeout = 10000
避免被下游意外修改的实用做法
你无法阻止别人改你导出的对象，但可以降低风险、明确意图：
-
默认冻结只读配置：导出前用
Object.freeze()封住顶层属性（注意：只冻结第一层）
const config = { port: 3000, env: 'prod' };<br>module.exports = Object.freeze(config); -
导出 getter 函数代替裸对象：让每次访问都返回新副本或受控实例
module.exports = {<br> getConfig() { return { port: 3000, env: 'prod' }; }<br>}; - 区分“可变实例”和“不可变定义”：把需要被修改的状态放在构造函数里，导出类而非实例；把常量、Schema、规则等定义类数据作为冻结对象导出
警惕看似安全实则危险的操作
以下行为会让“导出引用类型”变成污染源头：
立即学习“Java免费学习笔记（深入）”；
- 导出一个空数组或空对象，又在模块内持续 push / assign —— 所有 require 方看到的是同一份动态变化的数据
- 导出一个未冻结的嵌套对象，下游执行
mod.data.users.push(...)，上游模块逻辑可能被干扰 - 多个模块
require同一配置模块，其中一个模块把它当状态容器反复修改，其他模块跟着“意外同步”
需要深拷贝时，别在导出环节做
如果下游确实需要独立副本，拷贝动作应由使用者承担，而不是在 module.exports 里写 JSON.parse(JSON.stringify(obj))——这会带来性能损耗且无法处理函数、Date、RegExp 等类型。
- 推荐由调用方按需浅拷贝：
{...config}或Object.assign({}, config) - 如需深拷贝，用
structuredClone()（Node.js 17.6+ 支持）或明确引入轻量库 - 导出大对象时，CommonJS 无性能损耗；所谓“慢”，往往来自初始化时的同步计算或误加的深拷贝逻辑
