java中string的不可变性虽非专为安全设计，但客观提升安全性：防止篡改、保障线程安全、确保哈希一致、支撑类加载与权限校验确定性，并推动敏感信息使用char[]等更安全实践。
Java 中 String 的不可变性（immutability）本身不是为“安全”而设计的初衷，但它在多个关键场景中客观增强了代码安全性，尤其体现在防止意外篡改、线程安全、哈希一致性与敏感信息控制等方面。
防止运行时字符串被恶意或意外修改
String 对象一旦创建，其内部字符数组（JDK 8 及以前为 char[]，JDK 9+ 优化为 byte[] + 编码标识）就被设为 final，且无公开方法可修改内容。这意味着：
- 作为参数传入方法时，接收方无法通过引用改变原始字符串值——避免了“副作用式篡改”，比如日志路径、SQL 模板、配置键名等关键字面量不会被下游逻辑悄悄覆盖；
- 用作 Map 的 key 或 Set 元素时，其 hash 值在构造后恒定，不会因内容变化导致哈希表结构错乱或查找失效，间接防止因哈希碰撞异常引发的逻辑绕过；
- 当字符串承载密码、token、密钥片段等敏感文本时，不可变性配合
String不提供清空/覆写能力（对比char[]），虽看似不利，但实际推动开发者转向更安全的替代方案（如显式使用char[]并及时调用Arrays.fill()清零），从而暴露并修正不安全习惯。
天然支持线程安全，避免同步开销与竞态风险
由于 String 实例状态不可变，多个线程可安全共享同一实例，无需加锁或复制：
Alibabacloud Sdk Client Initialization For Java
下载
在 Java 中初始化和管理阿里云 SDK客户端。包括单例模式、线程安全、endpoint 与 region 配置、VPC 终端节点、同步与异步等。
- 常量池中的字符串（如
"https://"、"Content-Type"）被反复复用，不会出现一个线程刚读取一半、另一线程就修改了内容的竞态条件； - 在高并发 Web 请求处理中，URL 路径、HTTP 头名、JSON 字段名等大量使用 String，不可变性使这些轻量对象可自由跨线程传递，消除因共享可变字符串引发的数据污染或解析错误。
保障类加载与安全管理器行为的确定性
Java 安全模型依赖字符串做权限校验和类名解析，例如 SecurityManager.checkPermission(new RuntimePermission("setSecurityManager")) 中的权限名是 String：
- 若该字符串可被篡改，攻击者可能通过反射或其他手段替换权限名字符串，绕过安全检查；
- 类加载器（ClassLoader）依据全限定类名（如
"java.lang.String"）定位并加载类，不可变性确保类名在委托链各环节始终一致，防止中间劫持或动态污染。
减少敏感字符串在内存中残留的风险（需配合正确实践）
虽然 String 不可变意味着它不能被主动擦除，但这反而促使 JVM 和开发者正视内存管理问题：
- JVM 对字符串常量池有专门回收机制（自 JDK 7 起移至堆中，受 GC 管理），长期存活的敏感字符串仍可能驻留内存，因此规范做法是：密码类输入应优先使用
char[]接收，并在验证完成后立即清空； - 不可变性让 String 的生命周期更易推断——一旦局部变量超出作用域且无强引用，GC 可安全回收整个对象，避免了可变字符串因被多处缓存而难以清理的问题。
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
