Как защищать нужно, когда возвращаете ссылку на объект, которая является просто частным членом, «запутанным» каким-то образом?

Question

Рассмотрим C# программу:

using System; 
using System.Collections.Generic; 
using System.Linq; 

namespace SandboxApplication 
{ 
    public class IntsOwner 
    { 
     private List<int> _ints; 

     public IntsOwner (IEnumerable<int> ints) 
     { 
      _ints = ints.OrderBy(i => i).ToList(); // They must be in the correct order 
     } 

     public IEnumerable<int> Ints 
      => _ints; 

     public void CheckFirstTwoInts() 
     { 
      if (_ints.Count < 2) 
      { 
       Console.WriteLine("You need to collect some more ints before trying this."); 
      } 
      else if (_ints[0] <= _ints[1]) 
      { 
       Console.WriteLine("Your ints are in the correct order and you should stop worrying."); 
      } 
      else 
      { 
       Console.WriteLine("You've failed, your highness."); 
      } 
     } 
    } 

    class Program 
    { 
     static void Main (string[] args) 
     { 
      var intsOwner = new IntsOwner(new List<int> {1, 2, 3, 4, 5}); 

      var ienumerable = intsOwner.Ints; 

      var list = (List<int>)ienumerable; 

      intsOwner.CheckFirstTwoInts(); 

      list[0] = 6; 

      intsOwner.CheckFirstTwoInts(); 

      Console.ReadLine(); 
     } 
    } 
} 

Если запустить это, вы получите две строки вывода:

Your ints are in the correct order and you should stop worrying. 
You've failed, your highness. 

оригинальный конструктор IntsOwner класса хотел, чтобы убедиться, что конкретное имущество (порядок элементов списка) для частного участника _ints. Но поскольку ссылка на фактический объект возвращается через свойство Ints, пользователь класса может изменить объект, чтобы это свойство больше не выполнялось.

Этот тип кода на практике не кажется очень вероятным, но он все еще сбивает с толку, что контроль членов, предназначенных для частных, может «протекать» таким образом. Сколько, если вообще, должны ли программисты попытаться заблокировать подобные вещи? Например, было бы разумным или пропорциональным изменить тело выражения объекта Ints на _ints.Select(i = i) и тем самым закрыть этот способ изменения частного члена? Или это будет излишне параноидально в ущерб читаемости кода?

Answer 1

Вы могли бы сделать что-то вроде

public IEnumerable<int> Ints => _ints.ToList<int>(); 

так что вы не возвращает ссылку на _ints, но только скопированный список. Любой, кто модифицирует возвращаемое значение, будет изменять только свою собственную копию, а не частную.

Answer 2

Я всегда добавить вызов AsReadOnly() после того, как ToList

Неизменность является ключом, а не только принцип наименьшего знания в типе возвращаемого

https://msdn.microsoft.com/en-us/library/e78dcd75(v=vs.110).aspx