JavaScript模块中私有变量无法安全导出，真正私有需不导出而仅暴露受控接口；顶层声明默认私有；可通过闭包、类私有字段（#）或只读函数接口实现“可用不可见”的安全封装。
JavaScript 模块中不能“安全导出私有变量”，因为导出即暴露——一旦用 export 声明，该变量就不再是私有的。真正的安全性来自**不导出**，而通过受控接口间接访问内部状态。
模块顶层声明默认就是私有的
在 ES 模块（.mjs 或 type="module"）中，所有顶层 const、let、function 都天然模块私有：
-
const apiKey = "xyz";—— 外部无法 import，也无法通过任何方式读取 -
function validate() { ... }—— 不 export 就完全不可见 - 它们不会污染全局，也不参与 tree-shaking 之外的任何外部访问
想让外部“用得到但碰不到”？只导出函数或类方法
把敏感数据藏在模块作用域或闭包里，只暴露操作它的函数：
// api.js
const token = localStorage.getItem("auth_token"); // 私有，不导出
export function isLoggedIn() {
return !!token;
}
export function setToken(newToken) {
token = newToken; // ❌ 报错：token 是 const，不可重新赋值
localStorage.setItem("auth_token", newToken);
}
export function clearToken() {
localStorage.removeItem("auth_token");
}
- 调用方能判断登录态、清空凭证，但永远拿不到
token字符串本身 - 如果需要可变状态，可用
let token+ 严格封装逻辑，避免直接暴露
类内私有字段（#name）提供更强封装
ES2022+ 支持类级私有字段，连模块内其他代码都无法直接访问（除非在类方法中）：
立即学习“Java免费学习笔记（深入）”；
// config.js
export class Config {
#apiKey = "abc123";
#baseUrl = "https://api.example.com";
getApiUrl() {
return `${this.#baseUrl}/data?key=${this.#apiKey}`;
}
// ❌ 下面这行非法：SyntaxError
// exposeKey() { return this.#apiKey; }
}
-
#apiKey在整个模块中都不可被解构、反射、遍历或意外覆盖 - 即使导出这个类，外部也只能调用公开方法，无法绕过封装
- 注意：私有字段不能出现在
export { #apiKey }中，语法不允许
别误用“导出变量”代替“导出能力”
常见误区是试图导出配置对象或常量集合来“统一管理”：
// ❌ 危险：导出即暴露全部
export const CONFIG = {
apiKey: "xxx",
timeout: 5000,
debug: true
};
正确做法是按需提供只读接口：
// ✅ 安全：控制访问粒度
const CONFIG = { apiKey: "xxx", timeout: 5000, debug: false };
export function getTimeout() { return CONFIG.timeout; }
export function isDebugMode() { return CONFIG.debug; }
// 不提供获取 apiKey 的方法 → 真正隔离敏感项
