最安全的设计是按需暴露、最小授权：字段默认private，方法按职责分级，类仅必要时public；配合final、不可变容器和防御性拷贝强化封装。
最安全的设计不是追求“全 public”或“全 private”，而是按需暴露、最小授权。核心原则是：字段默认 private，方法按职责定级，类本身只在必要时设为 public。
字段一律用 private 封装
所有实例变量（包括基本类型、对象引用、集合等）都应声明为 private。这能防止外部直接篡改内部状态，避免破坏对象一致性。
- 不提供 public 字段，哪怕只是 final 常量——除非是公开的静态常量（如 public static final String API_VERSION = "v2"）
- 需要读写时，通过 public getter/setter 控制逻辑，比如 setter 中校验值范围、触发监听、同步更新衍生字段
- 集合类字段要特别小心：private List<String> tags; 不等于安全；应返回 Collections.unmodifiableList(tags) 或使用不可变容器（如 Guava 的 ImmutableList）
方法权限按调用意图分级
方法的访问级别取决于“谁需要调用它”和“它是否属于对外契约”。
- 对外服务接口、构造器、工厂方法、核心业务入口 → 设为 public
- 仅用于本包内协作（如模块间工具方法、策略组装逻辑）→ 用 default（无修饰符），不跨包暴露
- 纯内部辅助逻辑（如 validateInput()、formatResponse()）→ 必须 private，连子类都不该继承或调用
- 禁止把本该 private 的方法降级为 protected 仅为了测试——应改用测试友好的设计（如包级可见 + 测试同包）或依赖注入模拟
类本身的 public 要严格限制
顶层类不是越多 public 越好，public 类意味着你承诺了它的 API 稳定性与向后兼容。
立即学习“Java免费学习笔记（深入）”；
- 一个 .java 文件最多一个 public 类，且文件名必须匹配——这是强制约束，也是清晰性的体现
- 工具类（如 StringUtils）、实体类（如 User）、服务接口（如 PaymentService）可设为 public
- 实现类（如 DefaultPaymentService）、包装类、内部策略类 → 用 default，避免被误用；使用者应依赖接口而非实现
- 绝不把 private 或 protected 用于顶层类——语法错误，Java 不允许
配合 final 和不可变性加固安全
private 只是第一步，还需配合其他机制防止绕过封装。
- 关键字段加 final（如 private final String id），杜绝后续修改
- 构造器完成所有初始化，避免对象处于半构建状态；对传入的可变参数做防御性拷贝（如 new ArrayList(inputList)）
- 返回对象时，若内部持有可变对象（如 Date、StringBuilder），返回副本而非引用
- 慎用 public static 可变字段——它相当于全局变量，极易引发并发或状态污染问题
