使用 Collections.unmodifiableSet() 包装核心配置集合可防止外部直接修改，但需在初始化完成时立即封装并置空原始引用；它仅提供只读视图，非深拷贝，底层集合若被其他代码修改则视图仍会变化，推荐改用 Set.copyOf() 或 ImmutableSet.of()。

用 Collections.unmodifiableSet() 包装核心配置集合，是防止外部代码直接修改的轻量级防护手段——它不阻止你内部更新，只拦截外部的 add/remove/clear 等操作，抛出 UnsupportedOperationException。

包装时机要早，最好在初始化完成时立刻封装

不要等到返回给调用方前才包装。在配置加载完毕、校验通过后，立即用 unmodifiableSet() 封装原始集合，并将原始引用设为 null 或转为私有只读字段：

• 避免中途被其他模块误改原始集合
• 确保所有 getter 方法返回的都是不可修改视图
• 例如：private final Set ALLOWED_ROLES = Collections.unmodifiableSet(new HashSet(Arrays.asList("ADMIN", "USER")))

注意底层集合仍可能被间接修改

unmodifiableSet() 返回的是一个“只读视图”，不是深拷贝。如果原始集合对象本身被其他地方持有并修改，视图内容也会变：

• 解决办法：用不可变实现替代，如 Set.copyOf()（Java 10+）或 ImmutableSet.of()（Guava）
• 若必须用 unmodifiableSet()，确保原始集合生命周期内不再被任何代码修改
• 常见陷阱：从数据库或配置文件动态加载后未做防御性拷贝，仅套一层 unmodifiable

配合 private final + 构造器注入，杜绝外部替换

仅防修改还不够，还要防替换。把集合声明为 private final，并通过构造器或静态块初始化：

• 禁止 setter 方法暴露集合引用
• 禁止 getter 返回原始类型（如 Set），应明确返回 Set 接口类型
• 若需更新配置，提供专用方法（如 refreshRoles(Set newRoles)），内部重新创建不可修改视图

日志与断言辅助排查意外修改

运行期偶尔出现 UnsupportedOperationException 可能说明某处试图修改——这不是错误，而是保护生效。可在关键路径加简单日志或断言帮助定位：

• 在 catch 块中记录堆栈（仅开发/测试环境）
• 对高敏感配置，用 Objects.requireNonNull(set, "Config set must not be null") 防空指针
• 单元测试中主动调用 set.add("test")，验证是否真的抛异常