8.4 防止不安全的直接对象引用