核心是严格控制变量导出以保障封装性：仅导出真正被外部依赖、具备稳定契约且变更安全的变量；优先用函数封装替代裸变量导出；按功能域拆分子模块；在系统级语言中结合编译期符号控制强化隔离。
核心是只让外部真正需要的变量“露头”，其余一律收进包内，不给外部任何误用或依赖的机会。
明确哪些变量必须导出
不是所有公开函数都需要配套导出内部状态变量。先问三个问题：
- 这个变量是否被其他包直接读写？
- 它的值是否构成稳定、有文档保障的公共契约？
- 如果它变更，是否会导致下游模块行为不可预期？
只要有一个答案是否定的，就不该导出。例如 Go 中的 configTimeout 若只是供本包内几个函数调用，就应保持小写，不导出；若需被插件动态覆盖，再考虑导出并配套提供 SetTimeout() 方法封装访问。
用函数替代裸变量导出
暴露可变变量风险高，暴露只读能力更安全。把变量藏起来，只导出获取它的函数：
- Go 示例：
func DefaultRetryCount() int { return 3 }—— 比导出DefaultRetryCount = 3更可控 - TypeScript 示例：
export const getApiBase = () => env.API_BASE || 'https://api.example.com'—— 避免直接导出API_BASE字符串常量
这样既满足外部读取需求，又保留了未来加日志、校验、环境适配等扩展空间。
按功能域拆分导出子模块
大型包不要堆在一个顶层命名空间里全量导出。例如一个 utils 包，可组织为：
-
utils/http：只导出DoRequest、ErrorResponse -
utils/encoding：只导出Base64Encode、JSONSafeParse -
utils/internal（不对外发布）：存放所有辅助函数和中间变量
这种结构天然限制了变量可见范围，也便于按需导入，避免“为用一个函数而加载整个工具包”。
借助编译期符号控制强化隔离
在 C/C++ 或 Rust 等系统级语言中，仅靠语言级导出还不够。要配合构建层手段：
- GCC/Clang 加
-fvisibility=hidden，再用__attribute__((visibility("default")))精确标记少数 API 函数 - Rust 使用
pub(crate)限定为 crate 内可见，pub(super)限于父模块，彻底阻断跨模块穿透 - 链接时用版本脚本（.map 文件）过滤未声明符号，防止动态库意外暴露
这类机制在底层库或 SDK 发布场景中尤为关键，能堵住语言语法之外的泄漏路径。
