WeakMap 不能用于跨模块通信，因其不可导出、不可遍历、依赖弱引用对象键且各模块实例完全隔离；正确做法是用 WeakMap 封装模块内私有状态，通过函数接口（如 getTokenFor）受控暴露能力，跨模块通信应使用标准机制。
WeakMap 本身不能用于跨模块通信，因为它不支持序列化、无法被导出或共享，且每个模块实例中的 WeakMap 是完全独立的。所谓“在跨模块间安全传递私有令牌”，本质上是对 WeakMap 用途的误解——WeakMap 的设计目标是**绑定对象身份与私有元数据**，而非跨边界传输数据。
WeakMap 的核心限制：不可导出、不可遍历、依赖对象引用
WeakMap 的键必须是对象，且对键是弱引用；它不暴露键列表，也不能被 JSON.stringify 或 structuredClone 复制。这意味着：
- 你无法把一个 WeakMap 实例从模块 A “传给”模块 B —— 即使你 export 它，B 拿到的也只是另一个作用域里的 WeakMap 引用（空的，无共享状态）
- WeakMap 中存储的“令牌”只对持有该 WeakMap 实例 + 持有对应键对象的代码可见；一旦键对象被回收，条目自动消失
- 没有方法能从外部读取某个对象在某 WeakMap 中存了什么，这保证了封装性，但也切断了跨模块访问路径
真正可行的替代方案：用 WeakMap 封装访问控制，用标准机制通信
如果你需要模块间协作并保护敏感令牌（如 API key、session token），正确做法是：
- 用 WeakMap 在模块内部管理对象级私有状态：例如，为每个请求对象（Request 实例）关联一个解密后的 token，避免挂载到原型或公共属性上
- 通过函数接口暴露受控能力：模块 A 提供一个 getTokenFor(request) 方法，内部用 WeakMap 查找，返回结果由模块 A 决定是否允许（可加权限校验、时效检查）
- 跨模块通信走标准方式：ESM 导入/导出纯函数或单例服务；或者用事件总线、自定义事件、Promise 链、Context（如 React.useContext）等机制传递“授权后”的值，而非原始 WeakMap
示例：模块 auth.js
立即学习“Java免费学习笔记（深入）”；
Java Maven Common
下载
Java Maven 项目审查工作流的通用输入处理。当 Java Maven 项目以 ZIP压缩包或 GitLab 仓库 URL 形式提供且需要...时使用。
const tokenStore = new WeakMap();
export function attachToken(request, token) {
tokenStore.set(request, token);
}
export function getTokenFor(request) {
// 可在此加入校验逻辑：是否过期、是否被撤销
return tokenStore.get(request) ?? null;
}
其他模块导入 getTokenFor 使用，但永远接触不到 tokenStore 本身。
警惕“伪安全”陷阱：不要试图绕过 WeakMap 设计边界
有人尝试用闭包+全局注册表模拟跨模块 WeakMap，例如：
- 把 WeakMap 存在 window.__internal_token_map（浏览器）或 global.__weakmap（Node.js）——破坏封装、污染全局、无法垃圾回收、多实例冲突
- 用 Symbol 作为唯一 key 挂在对象上，再靠约定让各模块读取——这不是 WeakMap，且 Symbol 可被枚举（Reflect.ownKeys）、不防误用
- 将 token 序列化进字符串再传——直接暴露敏感信息，违背“私有”初衷
这些做法既不安全，也不符合 WeakMap 的语义，还增加维护成本。
WeakMap 不是用来“传”的，是用来“绑”的。跨模块要的是明确契约和受控访问，不是共享底层存储结构。把令牌生命周期和访问逻辑封装好，再通过函数接口协作，才是简洁、可测、可维护的做法。
