防范web应用代码被篡改的关键在于使配置路径不可变，即通过private final字段、构造器注入、不可变集合封装、防御性副本getter及@constructorbinding等手段，从设计源头杜绝运行时修改。
防范 Web 应用代码被篡改，关键不在“运行时拦截”，而在于让配置路径本身不可变——即从对象设计源头切断修改入口。运行路径（如静态资源访问路径、配置加载路径、路由前缀等）一旦被业务代码或第三方库意外/恶意修改，就可能引发资源加载错乱、权限绕过甚至远程代码执行风险。真正有效的防护，是让这些路径在构造完成之后，彻底失去被覆盖、重赋值或反射修改的能力。
路径字段必须声明为 private final
任何代表运行路径的字符串、URI 或路径集合，都不应暴露 public setter 或可变字段。例如：
- ❌ 错误写法：
public String staticPath = "/static";或提供setStaticPath(String) - ✅ 正确写法：
private final String staticPath;，仅通过构造器注入，并在类初始化后无法再变更 - 若路径需动态解析（如基于环境），应在构造阶段完成计算并固化，而非留出后期修改口子
嵌套路径结构也要冻结
当路径以集合形式存在（如白名单路径列表、多级路由前缀数组），不能只冻结外层容器，还要确保内部元素不可变：
- 使用
Collections.unmodifiableList(Arrays.asList("/api", "/admin"))封装，而非直接返回new ArrayList() - 若用 Guava，优先选
ImmutableList.of("/v1", "/v2")，它连 null 元素都拒绝，且序列化安全 - 避免将
String[]直接暴露为 public static final —— 数组本身可被索引赋值，应转为不可变集合再返回
getter 必须返回防御性副本或不可变视图
即使字段是 final，若 getter 返回原始引用，调用方仍可能通过该引用间接篡改（尤其对集合或可变对象）：
- ❌ 危险：
public List<string> getProtectedPaths() { return this.paths; }</string> - ✅ 安全：
public List<string> getProtectedPaths() { return Collections.unmodifiableList(this.paths); }</string> - 对 URI、Path 等类型，若其内部状态可变（如某些自定义路径解析器），getter 中应返回新实例：
return Path.of(this.rawPath).toAbsolutePath()
结合 Spring Boot 的 @ConstructorBinding 强制路径初始化
对于通过 @ConfigurationProperties 加载的路径配置，禁用 setter 是最直接的防线：
- 启用
@ConstructorBinding注解，使 Spring 只能通过构造函数注入路径值 - 配合
record类（Java 14+）天然不可变，例如：public record WebPathConfig(@NotBlank String staticRoot, List<string> allowedPrefixes) {}</string> - 移除所有
@Validated+ 拦截器组合的“防篡改”尝试——它们对已注入的 Bean 实例完全无效
不复杂但容易忽略：路径不是“要保护的数据”，而是“系统行为的锚点”。让它不可变，等于锁死了攻击者撬动执行逻辑的第一根杠杆。
