java中string不可变性是主动安全设计，通过禁止修改保障敏感参数不被篡改、类加载可信、共享引用无副作用、哈希值稳定，并推动密码等敏感信息改用char[]。
Java 中 String 的不可变性不是限制，而是一种主动的安全加固——它让字符串一旦生成，内容就“钉死”在内存里，谁也改不动。这种设计直接切断了大量因共享引用导致的篡改风险，尤其在敏感路径上效果显著。
防止关键参数被中途篡改
字符串常作为权限、路径、凭证等关键信息的载体。比如数据库连接 URL、HTTP 请求头、类名、租户 ID 等，一旦传入方法或跨模块流转，就不该被下游逻辑悄悄覆盖。
- 一个方法接收 String token = "x9a8b7" 做校验，即使内部调用 token.toUpperCase()，原始 token 内容仍为 "x9a8b7"，不会被覆盖
- Spring Security 中的 username、Dubbo 中的 traceId，传递过程中不会被日志组件或过滤器意外修改——所有“修改”只是新建对象，原值始终可控
- 若 String 可变，攻击者可能通过反射或中间层替换 "java.lang.String" 这类类名字符串，绕过双亲委派机制加载恶意类
保障类加载与安全检查可信
JVM 的安全模型高度依赖字符串做元数据标识，这些值必须从始至终保持一致。
- 类加载器依据全限定类名（如 "javax.crypto.Cipher"）查找并加载字节码；不可变性确保委托链各环节看到的类名完全相同，杜绝劫持
- 安全管理器（SecurityManager）靠字符串判断权限，例如 checkPermission(new FilePermission("/tmp/*", "read"))；若权限名字符串可被运行时篡改，安全检查就形同虚设
- 注解属性、switch 表达式中的字符串字面量能被编译期和运行期共同信任，前提就是值恒定
消除共享引用引发的副作用
字符串常量池让多个变量可能指向同一实例（如 String a = "admin"; String b = "admin" → a == b），这在可变场景下极其危险。
- 如果 String 可变，一个模块执行 a.replace("admin", "root")，会静默影响所有共享该实例的模块，造成权限错乱或行为不一致
- 不可变性把这种共享变成安全复用：既节省内存，又杜绝“改一个、崩一片”的连锁反应
- Map 的 key 使用 String 时，哈希值稳定不变，不会因内容变动导致键“消失”或查找失效，间接防止逻辑绕过
推动更安全的敏感信息实践
String 不可变本身不提供擦除能力，但它暴露了“用 String 存密码”的隐患，从而倒逼开发者转向更合理的方式。
- 密码、密钥片段等本就不该用 String 承载，因为无法清空；不可变性让这个问题显性化，促使使用 char[] 并配合 Arrays.fill() 主动覆写
- JVM 对字符串常量池有专门回收机制（自 JDK 7u6 后优化），但真正敏感数据仍需靠开发者控制生命周期——String 的不可变恰恰是提醒你：“这个值，你得认真管”
- 它不解决所有安全问题，但把最基础的一环——“值是否被篡改”——交给了语言机制来兜底
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
