只读描述符是保障异步支付配置不可篡改的底层机制，通过__set__抛出异常拦截所有写入方式，比普通属性和@property更可靠，且需配合类级别绑定、异步安全访问、静态检查及加密审计链协同防护。

只读描述符是保障异步支付配置不可篡改的底层机制，它在运行时拦截属性写入操作，比单纯命名约定或文档说明更可靠。关键不在于“禁止修改”的声明，而在于让修改行为在 Python 解释器层面直接失败。

为什么普通属性或@property不够用

普通公有属性可被任意赋值；@property虽能省略 setter，但仅阻止通过点号语法修改，仍可通过 setattr(obj, 'attr', value) 或直接操作 __dict__ 绕过。在异步支付场景中，多个协程可能并发访问同一配置实例，若缺乏原子性保护，极易因竞态导致状态污染。

用描述符实现强约束的只读行为

描述符通过 __set__ 方法控制赋值逻辑，只要抛出异常，任何方式的写入都会中断——包括反射、字节码操作或第三方库的内部调用。这对支付配置这类高敏感字段至关重要。

• 定义一个 ReadOnlyDescriptor 类，其 __set__ 方法始终 raise AttributeError("Payment config is immutable")
• 在支付配置类中，将密钥、超时阈值、回调地址等字段声明为该描述符的实例
• 确保描述符绑定在类级别（而非实例），避免被动态替换

配合异步上下文的安全加固

异步环境中，配置常被多个 async def 函数共享。需额外注意：

• 避免在协程中缓存可变对象（如 dict/list）作为配置副本，应始终通过只读描述符访问原始值
• 若需序列化传输（如发往风控服务），使用 __getstate__ 显式控制导出字段，排除内部临时状态
• 结合 typing.Final 和 mypy 静态检查，在开发阶段捕获误赋值尝试

与加密和审计链协同工作

只读描述符解决的是“运行时不被改”，但不防内存dump或调试器注入。建议组合使用：

• 敏感字段值在初始化时解密，全程以明文驻留于只读描述符中，不暴露密钥
• 每次访问只读配置时，自动记录调用栈和时间戳到审计日志（限非高频字段）
• 启动时校验配置哈希，并与签名证书比对，防止磁盘文件被篡改后加载