object.setprototypeof 不可滥用，需严格防范原型污染：禁用不可信数据、清洗 json、使用 object.create(null) 替代、运行时校验、冻结 object.prototype。
用 Object.setPrototypeOf 不等于“能用就用”。它确实能动态改原型，但稍不注意就会引发原型链断裂、性能骤降、甚至安全漏洞。真正安全的做法，是明确什么该做、什么必须禁、什么可替代。
禁止在用户输入路径中使用
所有来自网络、文件、表单的数据，都可能含恶意键名（如 __proto__、constructor）。一旦把这些数据直接传给 Object.setPrototypeOf，就等于主动把控制权交出去。
- JSON 解析后第一件事不是合并或赋值，而是递归清洗：删掉所有含
__proto__、constructor、prototype的键（包括嵌套层级和点号路径） - 避免用
_.merge、_.set处理不可信数据；若必须用，确保 lodash 版本 ≥ 4.17.21 并开启严格模式 - 服务端接收请求体后，立即用正则
/\b(__proto__|constructor|prototype)\b/i扫描全部 key 和路径字符串
优先用无原型对象替代修改行为
很多场景你以为需要“挂方法到原型”，其实只是想要一个干净的键值容器。这时候 Object.create(null) 比任何原型操作都更安全、更轻量。
- 缓存映射、路由参数、插件注册表、配置项聚合——这些都不需要
toString或hasOwnProperty，直接用Object.create(null) - 需要判断是否存在某 key？写
Object.prototype.hasOwnProperty.call(obj, key)即可 - 这样从源头切断原型污染路径，也不用担心
obj.__proto__被覆盖或误读
运行时修改必须加校验和兜底
如果业务真需要动态切换原型（比如策略对象临时委托），不能裸调 Object.setPrototypeOf，得加两层防护：
- 调用前检查：
Object.isExtensible(obj) && proto !== obj && !isInPrototypeChain(obj, proto)（防止循环引用） - 深拷贝时跳过所有原型相关字段：
__proto__、constructor、prototype及其大小写变体，一律忽略 - 开发环境可启用轻量扫描：启动时用
Set遍历关键对象原型链，发现重复立即告警
冻结基础原型作为最后防线
在应用初始化完成、所有可信代码加载完毕后，执行一次 Object.freeze(Object.prototype)。这不会影响正常逻辑，但能阻止后续任何对基础原型的篡改。
- 注意兼容性：IE 不支持，Node.js 旧版本需确认；高安全要求系统建议搭配
--disable-proto=throw启动参数 - 冻结后，任何试图修改
Object.prototype的操作都会抛错，而不是静默失败 - 这不是万能方案，但能拦住大部分低级污染和第三方库的意外写入
