我们都知道String在Java中是不可变的，但是检查下面的代码:
String s1 = "Hello World";
String s2 = "Hello World";
String s3 = s1.substring(6);
System.out.println(s1); // Hello World
System.out.println(s2); // Hello World
System.out.println(s3); // World
Field field = String.class.getDeclaredField("value");
field.setAccessible(true);
char[] value = (char[])field.get(s1);
value[6] = 'J';
value[7] = 'a';
value[8] = 'v';
value[9] = 'a';
value[10] = '!';
System.out.println(s1); // Hello Java!
System.out.println(s2); // Hello Java!
System.out.println(s3); // World
为什么这个程序是这样运行的?为什么s1和s2的值变了，而s3的值不变?
字符串是不可变的*，但这只意味着你不能使用它的公共API更改它。
您在这里所做的是绕过常规API，使用反射。同样地，你可以改变枚举的值，改变Integer自动装箱中使用的查找表等等。
s1和s2改变值的原因是，它们都指向同一个被合并的字符串。编译器执行此操作(如其他答案所述)。
s3没有这样做的原因实际上让我有点惊讶，因为我认为它会共享值数组(在Java 7u6之前的早期版本中是这样的)。但是，查看String的源代码，我们可以看到子字符串的值字符数组实际上是复制的(使用Arrays.copyOfRange(..))。这就是它不变的原因。
你可以安装一个SecurityManager，避免恶意代码做这样的事情。但是请记住，有些库依赖于使用这种反射技巧(通常是ORM工具，AOP库等)。
*)我最初写的字符串不是真正的不可变，只是“有效的不可变”。在String的当前实现中，这可能会引起误解，其中值数组确实被标记为private final。不过，仍然值得注意的是，在Java中没有办法将数组声明为不可变的，因此必须注意不要在类之外公开它，即使使用适当的访问修饰符。
由于这个话题似乎非常受欢迎，这里有一些建议的进一步阅读:Heinz Kabutz在JavaZone 2009上的Reflection Madness演讲，它涵盖了OP中的许多问题，以及其他的反思……嗯…疯狂。
它涵盖了为什么这有时是有用的。以及为什么，大多数时候，你应该避免它。: -)
补充@haraldK的答案-这是一个安全黑客，可能会导致应用程序的严重影响。
首先要修改存储在字符串池中的常量字符串。当string被声明为string s = "Hello World";时，它被放置到一个特殊的对象池中以供进一步重用。问题是编译器将在编译时放置对修改后版本的引用，一旦用户在运行时修改了存储在此池中的字符串，代码中的所有引用将指向修改后的版本。这将导致以下错误:
System.out.println("Hello World");
将打印:
Hello Java!
当我在这样危险的字符串上实现繁重的计算时，我遇到了另一个问题。在计算过程中出现了一个bug，大约发生了100万分之一的概率，这使得结果不确定。我能够通过关闭JIT来发现问题——我总是得到相同的结果，关闭JIT。我猜原因是这个字符串安全黑客破坏了一些JIT优化契约。
