将实例变量设为private是否可以避免Java中的隐私泄露风险？

实例变量发生隐私泄露的根本原因 #

所谓的类属性隐私泄露，本质是类内部的可变状态被外部不受控地修改，哪怕你将实例变量声明为private，只要对外暴露了可变对象的直接引用，就会触发这类问题。

举个典型的错误实现示例：

import java.util.Date;
import java.util.List;

public class Student {
    // 声明为private的实例变量
    private Date enrollTime;
    private List<String> selectedCourses;

    public Student(Date enrollTime, List<String> selectedCourses) {
        this.enrollTime = enrollTime;
        this.selectedCourses = selectedCourses;
    }

    // 错误的getter实现：直接返回内部可变对象的引用
    public Date getEnrollTime() {
        return enrollTime;
    }

    public List<String> getSelectedCourses() {
        return selectedCourses;
    }
}

在上述代码中，外部调用getEnrollTime()拿到Date对象后，直接调用setTime()方法就可以修改Student实例内部的私有enrollTime属性；调用getSelectedCourses()拿到List后，直接调用add/remove方法也可以修改内部的选课列表，完全绕过了类的封装逻辑，这就是典型的隐私泄露。

private关键字的作用边界 #

将实例变量设置为private是防范隐私泄露的必要前提，但不是充分条件。
private的核心作用是禁止外部直接通过变量名访问类的成员，相当于给内部属性加了第一道访问门禁：

• 如果你的实例变量是不可变类型（比如String、Integer这类本身没有修改内部状态方法的类），只要设为private基本就不会有泄露风险
• 如果是可变类型（自定义实体类、集合、Date等），private只能避免外部直接访问变量本身，没法解决引用泄露带来的内部状态被篡改的问题

常见的防范方案 #

你之前认为拷贝构造函数可以防范这类问题的思路是正确的，拷贝构造是常用的防范手段之一，除此之外还有几种通用方案：

• 构造方法接收可变参数时做拷贝：避免外部持有传入参数的引用，反过来修改类内部状态

  public Student(Date enrollTime, List<String> selectedCourses) {
      this.enrollTime = new Date(enrollTime.getTime());
      this.selectedCourses = new ArrayList<>(selectedCourses);
  }
  

• getter返回可变对象时返回副本，而非原引用

  public Date getEnrollTime() {
      return new Date(enrollTime.getTime());
  }
  

• 针对集合类可以返回不可变视图，从机制上禁止外部修改

  public List<String> getSelectedCourses() {
      return Collections.unmodifiableList(selectedCourses);
  }
  

• 对于自定义的实体类，实现拷贝构造函数或者拷贝方法，传递对象时统一用副本而非原引用

内容的提问来源于stack exchange，提问作者ArtStyle.Qwerty