返回原始集合引用等于放弃封装，因外部可直接修改内部状态而绕过校验。应返回不可变视图或副本，如Java用Collections.unmodifiableList、Python用copy()、C#用AsReadOnly()。

直接把集合变量（如 List、Map）以 public 字段或 getter 返回原始引用，是状态破坏最隐蔽也最常见的源头。问题不在于“用了集合”，而在于“交出了控制权”——外部代码拿到的是同一份内存对象，可随时增删改，而你的类对此毫无感知。

为什么返回原始集合引用等于放弃封装

Java、C#、Python 等语言中，集合类型多为引用类型。一旦通过 public 成员变量或无防护的 getter 暴露，调用方拿到的不是副本，而是指向内部数据的“钥匙”。

• Java 示例：
  public class OrderService {
    private List pendingOrders = new ArrayList();
    public List getPendingOrders() { return pendingOrders; } // 危险！
  }
  外部代码可直接调用 service.getPendingOrders().add(new Order())，绕过你所有业务校验逻辑。
• Python 示例：
  class Config:
    def __init__(self):
      self.features = ['login', 'payment']
    def get_features(self):
      return self.features # 返回原列表引用
  调用方执行 cfg.get_features().append('analytics')，就已污染内部状态。

常见但危险的暴露方式

这些写法看似方便，实则打破封装边界：

• public 字段直接声明集合（如 public List tags;）
• getter 方法直接返回私有集合字段（未做防御性拷贝）
• 构造函数接收集合参数后，未深拷贝即赋值给成员变量
• Builder 模式中，集合字段被 builder 外部修改后传入

安全返回集合的 3 种可靠做法

核心原则：对外提供只读视图或独立副本，切断外部对内部数据结构的直接操作路径。

• Java：用不可变包装或只读视图
  – 返回 Collections.unmodifiableList(pendingOrders)
  – 或 Java 9+ 直接用 List.copyOf(pendingOrders)（返回不可变副本）
  – 若需频繁读取且写操作极少，考虑 CopyOnWriteArrayList
• C#：用 AsReadOnly() 或 LINQ ToList()
  – public IReadOnlyList PendingOrders => _pendingOrders.AsReadOnly();
  – 或 return _pendingOrders.ToList();（返回新列表）
• Python：显式复制或封装
  – getter 中返回 self._features.copy() 或 tuple(self._features)
  – 使用 @property 并配合 typing.Sequence 类型提示，暗示只读语义

额外防线：从设计源头规避风险

比修补 getter 更根本的是重构接口契约：

• 避免提供“获取整个集合”的方法；转而提供语义化查询，如 getPendingOrderCount()、findOrderById(id)
• 若必须支持外部增删，定义明确的委托方法：addPendingOrder(Order o)、removePendingOrder(id)，在其中嵌入校验与事件通知
• 在模块导出层面控制可见性（如 Java 的 module-info.java、C# 的 internal 修饰符），防止跨模块直接访问内部集合