如何通过为 Web 应用运行路径配置不可变属性防范代码被篡改实战

防范Web应用代码被篡改的关键在于使配置路径不可变，即通过private final字段、构造器注入、不可变集合封装、防御性副本getter及@ConstructorBinding等手段，从设计源头杜绝运行时修改。

防范 Web 应用代码被篡改，关键不在“运行时拦截”，而在于让配置路径本身不可变——即从对象设计源头切断修改入口。运行路径（如静态资源访问路径、配置加载路径、路由前缀等）一旦被业务代码或第三方库意外/恶意修改，就可能引发资源加载错乱、权限绕过甚至远程代码执行风险。真正有效的防护，是让这些路径在构造完成之后，彻底失去被覆盖、重赋值或反射修改的能力。

路径字段必须声明为 private final

任何代表运行路径的字符串、URI 或路径集合，都不应暴露 public setter 或可变字段。例如：

• ❌ 错误写法：public String staticPath = "/static"; 或提供 setStaticPath(String)
• ✅ 正确写法：private final String staticPath;，仅通过构造器注入，并在类初始化后无法再变更
• 若路径需动态解析（如基于环境），应在构造阶段完成计算并固化，而非留出后期修改口子

嵌套路径结构也要冻结

当路径以集合形式存在（如白名单路径列表、多级路由前缀数组），不能只冻结外层容器，还要确保内部元素不可变：

• 使用 Collections.unmodifiableList(Arrays.asList("/api", "/admin")) 封装，而非直接返回 new ArrayList()
• 若用 Guava，优先选 ImmutableList.of("/v1", "/v2")，它连 null 元素都拒绝，且序列化安全
• 避免将 String[] 直接暴露为 public static final —— 数组本身可被索引赋值，应转为不可变集合再返回

getter 必须返回防御性副本或不可变视图

即使字段是 final，若 getter 返回原始引用，调用方仍可能通过该引用间接篡改（尤其对集合或可变对象）：

• ❌ 危险：public List<string> getProtectedPaths() { return this.paths; }</string>
• ✅ 安全：public List<string> getProtectedPaths() { return Collections.unmodifiableList(this.paths); }</string>
• 对 URI、Path 等类型，若其内部状态可变（如某些自定义路径解析器），getter 中应返回新实例：return Path.of(this.rawPath).toAbsolutePath()

结合 Spring Boot 的 @ConstructorBinding 强制路径初始化

对于通过 @ConfigurationProperties 加载的路径配置，禁用 setter 是最直接的防线：

• 启用 @ConstructorBinding 注解，使 Spring 只能通过构造函数注入路径值
• 配合 record 类（Java 14+）天然不可变，例如：public record WebPathConfig(@NotBlank String staticRoot, List<string> allowedPrefixes) {}</string>
• 移除所有 @Validated + 拦截器组合的“防篡改”尝试——它们对已注入的 Bean 实例完全无效

不复杂但容易忽略：路径不是“要保护的数据”，而是“系统行为的锚点”。让它不可变，等于锁死了攻击者撬动执行逻辑的第一根杠杆。