Java record 怎么防止可变集合从外部改进来：List.copyOf、数组克隆和构造器核对

订单创建接口刚进入服务层，日志里的 labels 还是 [new]；几行代码后却变成了 [new, rush]。排查到最后，record 没有被重新赋值，真正变化的是调用方仍握在手里的 ArrayList。record 能把组件字段固定住，却不会自动切断所有可变对象的别名。

没有 setter，为什么订单命令还是会漂移

record 的组件对应私有字段和访问器，JLS 也规定 record 类隐式为 final。这解决的是“字段能否被重新指向”的问题，不等于组件指向的对象已经不可变。List、byte[]、Map 都可能把同一份可变状态交给多个位置。

接口边界最容易踩中这个坑。控制器把请求体转换成命令对象，后面某个过滤器又继续往原始列表里补标记；或者验签代码复用了同一份字节数组。此时 record 里的引用没有变，引用指向的内容却变了。

先做一个能看见问题的小实验

先别急着把所有组件都复制。先写出最小 record，再在创建完成后改动输入对象。这个过程能很快分辨“字段不可重新指向”和“数据不可被外部改写”不是一回事。

import java.util.ArrayList;
import java.util.List;

public record CreateOrderCommand(
        String customerId,
        List labels,
        byte[] signature
) {}

var inputLabels = new ArrayList(List.of("new"));
var inputSignature = new byte[] {1, 2};
var command = new CreateOrderCommand("u-7", inputLabels, inputSignature);

inputLabels.add("rush");
inputSignature[0] = 9;

// command.labels() 现在会看到 [new, rush]
// command.signature()[0] 现在会看到 9

这里没有任何 setter，也没有发生重新赋值；问题只是 record 保存了原始引用。先把这个复现留在测试里，后面改构造器时才能看到修复是否真的起作用。

在 compact constructor 里截断输入侧别名

针对只包含不可变元素的列表，List.copyOf 是很合适的边界写法：它返回不可修改的 List，之后再改输入集合，返回的 List 不会跟着反映这种结构变化。数组没有这层集合工厂保障，直接复制更直白。

import java.util.Arrays;
import java.util.List;
import java.util.Objects;

public record CreateOrderCommand(
        String customerId,
        List labels,
        byte[] signature
) {
    public CreateOrderCommand {
        customerId = Objects.requireNonNull(customerId, "customerId");
        labels = List.copyOf(labels);
        signature = Arrays.copyOf(
                Objects.requireNonNull(signature, "signature"),
                signature.length
        );
    }

    @Override
    public byte[] signature() {
        return Arrays.copyOf(signature, signature.length);
    }
}

这段代码的关键不是“写得更复杂”，而是明确谁拥有数据：构造完成后，命令对象拥有自己的列表结构和自己的数组内容。调用方继续保留它的输入，也不会再影响命令对象。

List.copyOf 不会把元素做成深层副本

List.copyOf 固定的是 List 容器，不会递归复制每个元素。若组件是 List、List 或自定义可变 DTO，外部仍可通过元素引用改到 record 里看到的内容。

这时要先做一个取舍：能否把组件类型换成 String、另一个 record 或不可变值对象？如果不能，才为元素写专门的复制函数。只把外层 List 换成 List.copyOf，却把它称为“完全不可变”，会让后面的缓存键、审计快照和并发排查更难解释。

数组还要防住访问器把内部引用交出去

只在构造器里复制数组还不够。默认 accessor 会把内部数组本身返回，调用方拿到后依旧能改内部内容。因此数组场景要有两道门：输入进入时复制，读取出去时也复制。

用两轮改动确认边界真的生效

修复后别只看代码外观。第一轮改构造时传入的对象，第二轮改 accessor 拿到的对象；两次都不能影响命令里的状态。下面的检查可以放到单元测试里，错误信息也能把问题定位到输入侧还是输出侧。

var labels = new ArrayList(List.of("new"));
var signature = new byte[] {1, 2};
var command = new CreateOrderCommand("u-7", labels, signature);

labels.add("rush");
signature[0] = 9;
if (!command.labels().equals(List.of("new"))) {
    throw new IllegalStateException("input labels leaked");
}
if (command.signature()[0] != 1) {
    throw new IllegalStateException("input array leaked");
}

var clientCopy = command.signature();
clientCopy[0] = 8;
if (command.signature()[0] != 1) {
    throw new IllegalStateException("accessor array leaked");
}

这个检查只验证别名边界，不替代业务校验。像标签数量、签名字节长度、枚举值是否合法，仍应在 compact constructor 中按业务规则判断；数据复制和数据合法性是两件要分别留痕的事。

什么时候没必要复制，什么时候必须停下来想一遍

组件都是 String、数值、枚举、时间值这类不可变对象时，重复复制只会制造噪音。组件是数组、可变集合、ByteBuffer、日期格式化器或自定义可变对象时，就应该把复制策略写在构造器附近，别把它散落在调用链各处。

有一个例外需要特别克制：如果复制成本很高，别为了形式上的不可变一次性复制巨大的二进制块。可以让组件保存受控的存储标识、不可变切片描述，或者把读取行为包在明确的边界对象里。先定义所有权，再谈复制次数。

相关问题

record 的字段不是 final 吗，为什么还能变？

字段引用不能被重新指向，但引用指向的 List、数组或可变对象仍可能自身发生变化。

List.copyOf 和 Collections.unmodifiableList 有什么不同？

List.copyOf 生成不可修改的 List，并且输入集合后续的结构变化不会反映到结果中；只做不可修改视图时，底层集合变化仍可能被看见。

数组为什么不能只在构造器复制一次？

默认 accessor 会返回内部数组引用。调用方修改返回值后，仍会改到 record 内部，所以返回时也需要复制。

record 里放 List 应该怎么处理？

先让 DTO 变成不可变值对象；做不到时，构造时逐项复制并避免把内部可变元素直接返回。

核对资料

• Java Language Specification：Record Classes
• Java SE API：List.copyOf
• Java SE API：Arrays.copyOf