为何使用@AllArgsConstructor时SonarQube报可变对象引用暴露错误

这个SonarQube告警（对应规则ID squid:S2384）和是否使用@AllArgsConstructor注解没有直接关联，触发的核心原因是类的字段类型差异：

该规则的核心校验逻辑是：如果类的字段为可变引用类型，且构造方法/setter方法直接把外部传入的引用赋值给类字段，就会触发告警，提示存在内部状态被外部意外修改的风险。

• 不可变类型（比如String、Integer/Long等基础类型包装类、枚举、不可变集合等）、基础数据类型本身无法被外部修改，就算直接赋值引用也不会有风险，Sonar不会触发告警
• 可变类型（比如普通List/Map/Set、Date、自定义的普通POJO类、数组等）本身支持修改外部引用指向的内容，直接赋值引用就会触发该告警

你遇到的部分类触发告警的差异，本质是两类模型的字段类型不同：

• 触发告警的模型类包含可变类型的字段（比如截图中的List类型字段，普通List是可变类型，外部持有原始List引用时可以直接增删元素，同步修改模型类内部的字段值）
• 无告警的模型类所有字段都是不可变类型/基础类型，不存在被外部修改内部状态的风险，所以Sonar不会触发告警

• 方案1：手动做防御性拷贝：弃用@AllArgsConstructor，手写全参构造方法，对可变类型的入参做拷贝后再赋值，示例：

// 以List类型为例
public YourModel(List<Item> items, String name, Long id) {
    this.name = name;
    this.id = id;
    // 先拷贝一份新的List，再包装为不可变集合，彻底避免外部修改
    this.items = Collections.unmodifiableList(new ArrayList<>(items));
}

• 方案2：忽略告警（仅适用于内部可信场景）：如果你的模型类仅在内部服务间传递，不会对外暴露，可在类上添加注解@SuppressWarnings("squid:S2384")直接忽略该告警。
• 方案3：使用不可变集合作为字段类型：将可变集合字段的类型声明为Guava的ImmutableList/ImmutableMap等不可变类型，Lombok生成构造方法时传入的不可变集合本身不支持修改，也不会触发告警。

内容的提问来源于stack exchange，提问作者E S