proxy 无法直接拦截 object.defineproperty 对已有属性的修改，但可通过拦截 defineproperty 和 preventextensions 操作、配合内部锁定状态，实现动态不可扩展保护；示例中用 islocked 标志控制新增属性拒绝与 extensibility 状态同步。
Proxy 本身不能直接拦截 Object.defineProperty 对已有属性的修改（比如 writable、enumerable 等），但可以拦截对对象的属性定义行为（如新增属性），从而实现“不可扩展对象”的动态保护——关键在于拦截 defineProperty 和 preventExtensions 操作，并配合内部状态跟踪。
拦截 defineProperty 操作阻止新增属性
当目标对象已被设为不可扩展（Object.preventExtensions(obj)），后续调用 Object.defineProperty(obj, 'newKey', ...) 会抛出 TypeError。但 Proxy 可以在该错误发生前主动拦截并拒绝：
- 在 handler 的
defineProperty(target, key, descriptor)中，先检查Object.isExtensible(target) - 若返回 false，直接 return false（表示操作失败），或 throw 错误增强提示
- 注意：Proxy 不会自动继承 target 的 extensible 状态，需显式判断
拦截 preventExtensions 并锁定状态
防止外部绕过限制调用 Object.preventExtensions 后再定义属性，需同步拦截该操作：
CPA Update - Secure CLI Proxy API Maintenance
下载
安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。
- handler 中实现
preventExtensions(target)，返回 false 或执行逻辑后 return true - 更稳妥的做法是：在首次调用时将内部标志设为 locked = true，并在 defineProperty 中始终检查该标志
- 一旦锁定，所有新增属性尝试（包括 Reflect.defineProperty）均被拒绝
处理 getOwnPropertyDescriptor 与 has 的一致性
仅拦截 defineProperty 不够，还需保证其他元操作不暴露矛盾状态：
-
getOwnPropertyDescriptor应如实返回已有属性描述符；对不存在的 key，可返回 undefined（符合不可扩展语义） -
has和get不影响扩展性，但若返回虚假存在性，可能误导使用者，建议严格按 target 实际状态代理 - 避免在 handler 中缓存 descriptor 或硬编码返回值，否则与 target 状态脱节
一个轻量级不可扩展 Proxy 示例
以下是一个最小可行封装：
function makeNonExtensible(obj) {
let isLocked = Object.isExtensible(obj);
if (!isLocked) {
// 已不可扩展，直接代理
isLocked = true;
}
return new Proxy(obj, {
defineProperty(target, key, desc) {
if (isLocked) return false;
return Reflect.defineProperty(target, key, desc);
},
preventExtensions() {
isLocked = true;
return true;
},
isExtensible() {
return !isLocked;
}
});
}
使用时：const safe = makeNonExtensible({a: 1}); Object.defineProperty(safe, 'b', {value: 2}); // 失败
