核心是将配置写操作严格限定在初始化阶段或受控接口，禁用随意修改：用private static final+不可变类型固化初始值，动态变更须经校验接口原子更新快照，并按类加载器隔离确保全局唯一，编译期用apt/lint拦截违规。
核心不是“不让改”，而是让写操作只发生在明确、可审计、不可绕过的入口点。公共配置层一旦被随意写入，就会在多模块、多线程、热更新场景下迅速失控——值被覆盖、快照不一致、测试环境残留脏数据。真正稳定的做法，是把写权限锁死在初始化阶段或受控接口里。
初始化即固化：写操作只许发生一次
所有核心配置字段必须在类加载时完成赋值，之后彻底关闭裸写通道：
- 用 private static final 声明基础参数（如超时毫秒数、开关标识），类型限定为基本类型、String 或不可变对象（如 BigDecimal、ImmutableList）
- 禁止 public static 可变引用（如 public static Map
CONFIGS）；若需容器，用 private static volatile + AtomicReference 包裹不可变快照 - C++ 项目可用 static constexpr 或 constinit + const 强制编译期确定值，运行时无法修改
运行时变更必须走校验接口，不暴露变量本身
需要动态调整时，绝不开放字段直赋，而是提供带约束的静态方法：
- 方法内做合法性检查（如 timeout ∈ [100, 30000]）、权限校验（如仅限 ADMIN_ROLE）、变更日志记录
- 更新后生成新快照，通过 AtomicReference.set() 原子替换，旧快照由 GC 自动回收
- 示例：public static void updateRetryCount(int n) { if (n > 0 && n
按加载器隔离配置实例，杜绝跨模块污染
微服务中多个模块可能各自加载同名类，若配置驻留在业务 classloader，极易出现“看似一个变量，实为多份副本”：
- ConfigHolder 等核心管理器必须部署在 shared classloader 或 bootstrap classloader，确保全系统唯一
- 各业务模块只保留 private static volatile ConfigHolder HOLDER，所有读取统一走 HOLDER.get("key")
- 禁止跨模块声明 public static final String DB_URL = "...";——语义冲突、热更失效、测试干扰三重风险
编译期拦截违规：让错误发生在写代码时
靠人工约定不可靠，需构建自动化防线：
- 引入 APT 插件，在编译阶段扫描所有 public static 字段：对非基本类型/非 String 的 static final 报 warning；对 public static 可变对象（Map、List、Properties）直接中断构建
- 提供白名单注解 @AllowedGlobalConfig，仅 ConfigHolder、NacosAdapter 等极少数类可使用
- Android 项目可配合 lint 规则，自定义检查项识别非法 static 赋值语句
