Object.freeze 後巢狀物件還會變？設定凍結與資料所有權檢查

2026-11-11

前端

JavaScript

/

前端開發

/

問題解決

/

教學

本文目錄

Object.isFrozen(config) 回傳 true，config.api.timeout 卻仍能改成另一個值，通常是只凍結了外層。Object.freeze 作用在傳入的那個物件，巢狀物件要各自處理。

這個問題適合先查資料所有權：你要保護的是自己建立的固定設定，還是別人也持有的共用資料？freeze() 會原地修改物件的屬性限制並回傳同一物件。對共用參照凍結，其他使用者也會遇到寫入限制。

用斷言看出哪一層還能改#

依 MDN Object.freeze與 ECMAScript SetIntegrityLevel的定義，freeze 會限制自有屬性及物件擴充性。它沒有遞迴走訪整張物件圖。

存成 freeze.mjs，以 node freeze.mjs 執行。ES module 為嚴格模式，範例把寫入凍結屬性造成的 TypeError 也列入檢查：

1
import assert from 'node:assert/strict';
2

3
const config = { api: { timeout: 1000 }, tags: ['stable'] };
4
assert.equal(Object.freeze(config), config);
5
assert.equal(Object.isFrozen(config), true);
6
assert.equal(Object.isFrozen(config.api), false);
7
assert.throws(() => { config.api = {}; }, TypeError);
8
config.api.timeout = 2000;
9
config.tags.push('beta');
10
assert.equal(config.api.timeout, 2000);
11
assert.deepEqual(config.tags, ['stable', 'beta']);
12

13
// 已知且由自己建立的設定結構：逐層凍結。
14
const fixed = Object.freeze({
15
  api: Object.freeze({ timeout: 1000 }),
16
  servers: Object.freeze([
17
    Object.freeze({ url: 'https://api.example.test' }),
18
  ]),
19
});
20
assert.throws(() => { fixed.api.timeout = 2000; }, TypeError);
21
assert.throws(() => fixed.servers.push({ url: 'x' }), TypeError);
22
assert.throws(() => { fixed.servers[0].url = 'x'; }, TypeError);
23

24
// 凍結 Map 物件，不會封住其內部的資料操作。
25
const lookup = Object.freeze(new Map([['mode', 'stable']]));
26
lookup.set('mode', 'beta');
27
assert.equal(Object.isFrozen(lookup), true);
28
assert.equal(lookup.get('mode'), 'beta');
29
console.log('凍結層級檢查通過');

const 管變數綁定，freeze 管該物件的屬性限制；兩者解決不同層次的修改。Map 的例子則提醒：即使所有可見自有屬性都凍結，內部資料結構仍可能有自己的修改 API。

共用輸入先決定要不要複製#

假設外部程式傳入 source.api，你的設定也直接引用它。若接著凍結 config.api，就凍結了同一份來源。這可能符合共享唯讀設定的約定，也可能突然破壞呼叫端。

對下面這種已知欄位的簡單設定，重建內層物件能讓所有權清楚，並在邊界驗證需要的值：

1
import assert from 'node:assert/strict';
2

3
function makeConfig(source) {
4
  const timeout = source?.api?.timeout;
5
  if (!Number.isSafeInteger(timeout) || timeout <= 0) {
6
    throw new TypeError('timeout 必須是正安全整數');
7
  }
8
  return Object.freeze({ api: Object.freeze({ timeout }) });
9
}
10

11
const source = { api: { timeout: 1000 }, extra: '不帶入' };
12
const isolated = makeConfig(source);
13
assert.notEqual(isolated.api, source.api);
14
source.api.timeout = 2000;
15
assert.equal(isolated.api.timeout, 1000);
16
assert.equal(Object.isFrozen(source.api), false);
17
assert.equal(Object.hasOwn(isolated, 'extra'), false);
18
assert.throws(() => makeConfig({ api: { timeout: -1 } }), TypeError);
19
assert.throws(() => makeConfig({}), TypeError);
20
console.log('設定所有權檢查通過');