Python私有变量为何可在类外访问？其设计决策的动机是什么

你观察到的现象可通过如下代码复现：

class ExpensesCalculator:
  __max_number_of_people = 3

  def __init__(self):
    pass

if __name__ == "__main__":
  calculator = ExpensesCalculator()
  calculator._ExpensesCalculator__max_number_of_people = 24
  print(calculator._ExpensesCalculator__max_number_of_people)
  # 输出结果为24

本质不是“私有规则被绕过”，是对机制的认知偏差 #

Python从语言层面就没有实现Java、C++那种强制的私有成员访问控制。你看到的双下划线前缀__xxx的机制正式名称叫名称改写（Name Mangling），设计目标从来不是实现“外部绝对不可访问”的私有属性：
类定义阶段，Python解释器会自动对所有以两个下划线开头、至多一个下划线结尾的属性/方法名做重写，统一改成_类名__原属性名的格式。你在外部写的calculator._ExpensesCalculator__max_number_of_people本质就是直接访问重命名后的真实属性，自然可以正常读写，不存在“突破权限限制”的说法。 #

名称改写机制的实际作用 #

这个机制从设计之初就不是为了阻止外部访问，核心解决的是类继承场景下的内部属性命名冲突问题：

• 当你编写基类（尤其是供第三方调用的库基类）时，双下划线开头的内部属性不会被子类的同名属性意外覆盖。比如基类有个__cache的内部缓存属性，子类就算自己也定义了__cache属性，两个属性会被分别改写为_Base__cache和_SubClass__cache，完全隔离，不会因为子类开发者不知道基类的内部属性命名，就意外破坏基类的运行逻辑。
• 它附带的作用是做“弱提示”：看到双下划线开头的属性，其他开发者就会知道这是类的内部实现细节，不应该在外部代码里直接依赖——这类属性可能在版本迭代中被改名、删除、修改逻辑，不会对外做兼容承诺。这种提示可以避免绝大多数无意识的误调用，但不会阻拦明确知道自己在做什么的开发者。

Python不做强制私有控制的核心设计动机 #

这是Python一贯坚持的设计哲学选择，核心逻辑有三点：

• 遵循“成年人共识”：Python假设使用这门语言的开发者有能力为自己的代码负责。如果开发者明确知道访问内部属性有兼容风险，还是出于合理需求（比如给第三方库打猴子补丁修bug、单元测试打桩、调试内部状态）要这么做，语言不应该设置强制障碍阻拦。
• 强制私有的实际防护价值极低：就算语言层面加了私有访问限制，真要绕开也有非常多的手段（比如反射、运行时修改类定义），本质只能防住误操作，防不住故意的访问，反而会增加解释器的运行开销，收益和成本完全不对等。
• 匹配Python的动态特性：Python是高度动态的语言，支持运行时动态修改类、实例的属性和方法，强制的静态访问控制和整个语言的灵活设计方向是冲突的。

补充日常开发约定：如果只是标记“不建议外部使用的内部属性”，90%的场景用单下划线前缀_xxx就足够了，这是全社区通用的约定，解释器不会做任何名称改写，完全靠开发者共识遵守；只有当你明确需要避免子类命名冲突的时候，才需要用双下划线的名称改写。

内容的提问来源于stack exchange，提问作者chess_madridista