JS锁定全局变量不让修改方法

在JavaScript中，全局变量的“不可变”远比表面看起来复杂：const仅防止重新赋值，对对象内容毫无约束；Object.freeze()虽能冻结对象属性，却只做浅层防护，嵌套对象依然可被篡改；而挂载到window上的变量更需通过Object.defineProperty()手动锁定writable和configurable才能真正防覆盖、防删除——稍有疏漏，比如忘记深冻结或遗漏configurable: false，就可能为恶意脚本或调试误操作留下致命后门。

JavaScript 中用 const 声明的全局变量真不会变吗？

不是。const 只保证绑定不被重新赋值，不保证值本身不可变。比如 const obj = {}，后续写 obj.key = 1 完全合法，但 obj = {} 会报错。

• 真正“不变”的是变量名和它指向的内存地址，不是对象内容
• 原始类型（string、number、boolean）用 const 基本等效于“不可修改”
• 引用类型（Object、Array、Function）必须额外冻结才安全

想让对象或数组全局变量彻底只读，得用 Object.freeze()

Object.freeze() 是唯一能阻止属性增删改的原生方法，但它只做浅冻结——只封顶层属性，不递归冻结嵌套对象。

• 对全局对象直接调用：Object.freeze(myGlobalConfig)
• 冻结后尝试 myGlobalConfig.x = 2 在严格模式下会静默失败（非严格模式也无效）
• 如果 myGlobalConfig.nested 是个对象，myGlobalConfig.nested.prop = 1 仍能成功
• 需要深冻结时，得自己递归调用 Object.freeze() 或用 structuredClone() + 冻结组合（注意兼容性）

浏览器环境里挂到 window 上的变量怎么防改？

手动挂到 window 的变量，默认是可配置、可写的，必须用 Object.defineProperty() 锁死。

• 别写 window.API_BASE = 'https://api.example.com' —— 这种随时能被覆盖
• 正确做法：

  Object.defineProperty(window, 'API_BASE', {
    value: 'https://api.example.com',
    writable: false,
    configurable: false,
    enumerable: true
  });

• writable: false 阻止赋值；configurable: false 防止被 delete 或重新定义
• 注意：IE9+ 支持，但某些老版本 Safari 对 configurable: false 有 bug

模块级全局变量（ESM）还有必要防改吗？

ES 模块顶层的 export const 在导入方是只读引用，但导出方内部仍可能改——除非你控制全部代码入口。

• export const settings = { timeout: 5000 }; → 导入后 settings.timeout = 1000 有效（因为对象可变）
• 如果模块内自己没改，且所有使用者都通过 import 使用，那实际风险较低
• 真正要防的是第三方脚本或调试时在控制台直接操作，这时候还是得靠 Object.freeze() 或 defineProperty
• 构建工具（如 Webpack）的 mode: 'production' 不会自动冻结变量，别依赖它

冻结和定义属性的行为在运行时生效，而且不可逆。一旦漏掉某一层嵌套，或者忘了锁 window 属性的 configurable，就等于留了后门。

到这里，我们也就讲完了《JS锁定全局变量不让修改方法》的内容了。个人认为，基础知识的学习和巩固，是为了更好的将其运用到项目中，欢迎关注golang学习网公众号，带你了解更多关于的知识点！