Java中String的不可变性由final字段、无修改方法且类为final、构造器防御性拷贝三重机制硬性保障，确保敏感参数防篡改、多线程安全、常量池可信及hashCode稳定。
Java 中 String 的不可变性不是靠约定或文档提醒，而是由三重底层机制硬性锁定，从而直接支撑安全关键场景的可靠性。
final 字段切断内容篡改路径
String 内部存储字符数据的字段（JDK 9+ 是 private final byte[] value，JDK 8 及以前是 private final char[] value）被声明为 final，这意味着：
- 该字段引用一旦初始化，就不能再指向其他数组对象
- 数组本身虽非不可变容器，但 String 类不暴露任何修改其元素的 public 方法
- 外部无法通过正常 API（如 setCharAt、replaceInPlace）改变已有 String 实例的内容
无修改方法 + 类 final 阻断所有绕过可能
String 类从设计上杜绝了状态变更的入口：
- 所有看似“修改”的方法——concat()、substring()、toLowerCase()、replace() 等——全部返回新 String 对象，原对象保持原样
- 类声明为 public final class String，禁止继承，防止子类通过重写方法破坏契约
- 构造器对入参做防御性拷贝（如 new String(char[])），避免外部持有可变数组引用影响内部状态
安全落地：从敏感参数到系统机制全链路防护
这种强不可变保障，在实际运行中转化为具体的安全能力：
立即学习“Java免费学习笔记（深入）”；
- 敏感参数防劫持：数据库 URL、文件路径、HTTP 头等以 String 形式传入方法时，调用方无需担心被中间逻辑篡改；例如类加载器依赖 String 表示类名，若可变，可能加载错误类甚至绕过安全管理器
- 多线程共享零风险：配置项如 "timeout=3000" 被多个线程同时读取，无需同步，不会出现竞态或内存可见性问题
- 常量池信任基础：字面量 "admin" 在池中唯一存在，若可变，一处修改会污染所有同值引用，导致权限校验、路由匹配等逻辑静默失效
- 哈希值稳定可信：hashCode 缓存一次即永久有效，确保作为 HashMap 键时不会因内容变化而“丢失”，避免静默查找失败
注意边界：反射不算合法手段
虽然通过反射可强行修改 value 字段（需 setAccessible(true)），但这属于破坏 JVM 合约的非法操作：
- 违反 Java 安全模型，生产环境禁用
- 现代 JDK（如 17+）默认限制反射访问敏感字段，需显式开启宽松策略
- 即便成功，也会导致常量池一致性崩溃、哈希缓存失准、GC 异常等不可预测后果
