Инкапсуляция для настоящих самураев, или нюансы, связанные с ключевым словом internal в C#

Пролог: internal is new public

Каждый из нас мечтал о проекте, где всё будет сделано правильно. Это кажется вполне естественным. Как только ты узнаёшь о самой возможности писать хороший код, как только слышишь легенды о том самом коде, который можно легко читать и изменять, сразу загораешься тем самым «ну вот теперь я точно всё сделаю правильно, я ведь теперь умный и Макконнела читал».

Случился такой проект и в моей жизни. Очередной. Причём делаю я его под добровольным надзором, где за каждой моей строчкой следят. Соответственно, уже не только хотелось, но и надо было делать всё правильно. Одним из «правильно» было «чти инкапсуляцию и закрывайся по максимуму, потому что открыться всегда успеешь, а закрыться обратно потом будет поздно». И поэтому я везде, где только мог, стал использовать для классов модификатор доступа internal вместо public. И, естественно, когда ты начинаешь активно использовать новую для тебя фичу языка, возникают некоторые нюансы. О них по порядку и хочу рассказать.

Юнит-тесты и дружественные сборки

В C++ была такая странноватая фича, как friendly classes. Классы можно было назначить друзьями, и тогда граница инкапсуляции между ними стиралась. Подозреваю, что это не самая странная фича в C++. Возможно, даже в десятку самых странных не входит. Но выстрелить себе в ногу, связав несколько классов намертво, как-то слишком уж легко, а подходящий случай под эту фичу придумать очень тяжело.

Тем удивительнее было узнать, что в .NET существуют дружественные сборки, этакое переосмысление. То есть, вы можете сделать так, чтобы одна сборка видела то, что спрятано за internal-замком в другой сборке. Я когда узнал об этом, был несколько удивлён. Ну, как бы, зачем? В чём смысл? Кто будет намертво связывать две сборки, занявшись их разделением? Случаи, когда в любой непонятной ситуации лепят public, мы в этой статье не рассматриваем.

А потом в том же проекте я начал познавать одну из ветвей пути настоящего самурая: юнит-тестирование. А по фэн-шую юнит-тесты должны лежать в отдельной сборке. По тому же фэн-шую всё, что можно спрятать внутри сборки, нужно спрятать внутри сборки. Я встал перед весьма и весьма неприятным выбором. Или тесты будут лежать рядышком и уходить клиенту вместе с полезным для него кодом, или всё покроется ключевым словом public, как долго лежавший в сырости хлебушек.

И вот тут откуда-то из закромов моей памяти было добыто что-то про дружественные сборки. Оказалось, что если у вас есть сборка «YourAssemblyName», то можно написать вот так:

[assembly: InternalsVisibleTo("YourAssemblyName.Tests")]

И сборка «YourAssemblyName.Tests» будет видеть то, что помечено ключевым словом internal в «YourAssemblyName». Строчку эту можно вписать, чуть что, в AssemblyInfo.cs, который VS создаёт специально для хранения таких атрибутов.

Таким образом, волки остаются сыты, овцы целы, всё, что можно, по-прежнему прячется внутри сборки, юнит тесты живут в отдельной сборке, как и положено, а фича, про которую я едва вспомнил, обретает повод её использовать. Возможно, единственный существующий повод.

Чуть не забыл один важный момент. Действия атрибута InternalsVisibleTo одностороннее.

protected < internal?

Итак, ситуация: A и B сидели на трубе.

using System;

namespace Pipe
{
    public class A
    {
        public String SomeProperty { get; protected set; }
    }

    internal class B
    {
        //ERROR!!! The accessibility modifier of the 'B.OtherProperty.set' accessor must be more 
        //restrictive than the property or indexer 'B.OtherProperty'
        internal String OtherProperty { get; protected set; }
    }
}

A было уничтожено в процессе код-ревью, так как не используется за пределами сборки, но позволяет себе зачем-то иметь модификатор доступа public, B вызвало ошибку компиляции, которая в первые минуты может ввести в ступор.

В принципе, сообщение об ошибке логично. Аксессор свойства не может раскрывать больше, чем само свойство. Любой отнесётся с пониманием, если компилятор даст по шапке за такое:

internal String OtherProperty { get; public set; }

Но вот претензии к этой строке сходу ломают мозг:

internal String OtherProperty { get; protected set; }

Замечу, что к этой строке претензий не будет:

internal String OtherProperty { get; private set; }

Если особо не задумываться, то в голове выстраивается следующая иерархия:

public > internal > protected > private

И эта иерархия вроде как даже работает. Кроме одного места. Там, где internal > protected. Чтобы понять суть претензий компилятора, давайте вспомним, какие ограничения накладывают internal и protected. internal — только внутри сборки. protected — только наследники. Заметьте, любые наследники. А если класс B пометить как public, то в другой сборке можно определить его наследников. И тогда акссесор set действительно получит доступ туда, куда его не имеет всё свойство. Так как компилятор C# параноидален, он даже возможности такой допустить не может.

Спасибо ему за это, но нам нужно дать наследникам доступ к аксессору. И специально для таких случаев есть модификатор доступа protected internal.

Так что если мы хотим, чтобы компилятор позволил нам пользоваться этим свойством и задавать его в наследниках, нужно сделать так:

using System;

namespace Pipe
{
    internal class B
    {
        protected internal String OtherProperty { get; protected set; }
    }
}

А правильная иерархия модификаторов доступа выглядит приблизительно так:

public > protected internal > internal/protected > private

Интерфейсы

Итак, ситуация: A, I, B сидели на трубе.

namespace Pipe
{
    internal interface I
    {
        void SomeMethod();
    }

    internal class A : I
    {
        internal void SomeMethod()
        {
            //'A' does not implement interface member 'I.SomeMethod()'. 
            //'A.SomeMethod()' cannot implement an interface member because it is not public.
        }
    }

    internal class B : I
    {
        internal void SomeMethod()
        {
            //'B' does not implement interface member 'I.SomeMethod()'. 
            //'B.SomeMethod()' cannot implement an interface member because it is not public.
        }
    }
}

Сидели ровно и за пределы сборки не совались. Но были забракованы компилятором. Тут суть претензий ясна из сообщения об ошибке. Реализация интерфейса должна быть открытой. Даже если сам интерфейс закрыт. Было бы логично привязать доступ реализации интерфейса к его доступности, но чего нет, того нет. Реализация интерфейса должна быть public.

И у нас здесь два выхода. Первый: сквозь скрип и зубовный скрежет повесить на реализацию интерфейса модификатор доступа public. Второй: явная реализация интерфейса. Выглядит это так:

namespace Pipe
{
    internal interface I
    {
        void SomeMethod();
    }

    internal class A : I
    {
        public void SomeMethod()
        {
        }
    }

    internal class B : I
    {
        void I.SomeMethod()
        {
        }
    }
}

Обратите внимание, что во втором случае нет модификатора доступа. Кому в таком случае доступна реализация метода? Скажем так, никому. Проще показать на примере:

B b = new B();

//'B' does not contain a definition for 'SomeMethod' and no accessible extension method //'SomeMethod' accepting a first argument of type 'B' could be found 
//(are you missing a using directive or an assembly reference?)
b.SomeMethod();

//OK
(b as I).SomeMethod();

Явная реализация интерфейса I означает, что пока мы явно не приведём переменную к типу I, методов реализующий этот интерфейс не существует. Каждый раз писать (b as I).SomeMethod() может быть излишней нагрузкой. Как и (b(I)).SomeMethod(). И я нашёл два способа это дело обойти. До одного додумался сам, а второй честно нагуглил.

Способ первый — фабрика:

    internal class Factory
    {
        internal I Create()
        {
            return new B();
        }
    }

Ну, или любой другой паттерн, который позволит вам спрятать этот нюанс.

Способ второй — методы расширения:

    internal static class IExtensions
    {
        internal static void SomeMethod(this I i)
        {
            i.SomeMethod();
        }
    }

Что удивительно, это срабатывает. Эти строки перестают выдавать ошибку:

B b = new B();
b.SomeMethod();

Ведь обращение идёт, как нам подсказывает IntelliSense в Visual Studio, не к методам явной реализации интерфейса, а к методам расширения. А к ним обращаться никто не запрещает. И методы расширения интерфейса можно вызывать на всех его реализациях.

Но остаётся один нюанс. Внутри самого класса нужно обращаться к этому методу через ключевое слово this, иначе компилятор не поймёт, что мы хотим обратиться к методу расширения:

    internal class B : I
    {
        internal void OtherMethod()
        {
            //Error!!!
            SomeMethod();
            //OK
            this.SomeMethod();
        }

        void I.SomeMethod()
        {
        }
    }

И так, и так, у нас или public, там где его быть не должно, но там он, кажется, вреда не причиняет, или немножко лишнего кода на каждый internal-интерфейс. Выберите меньшее зло себе по вкусу.

Рефлексия

Я об это больно стукнулся, когда попытался найти через рефлексию конструктор, который, естественно, был помечен, как internal, у internal-класса. И оказалось, что рефлексия не выдаст ничего, что не было бы public. И это, в принципе, логично.

Во-первых, рефлексия, если я правильно помню то, что писали умные люди в умных книгах, это про поиск информации в метаданных сборки. Которые, по идее, не должны выдавать лишнего (я так думал, по крайней мере). Во-вторых, основное применение рефлексии — сделать вашу программу расширяемой. Вы предоставляете посторонним какой-то интерфейс (возможно, даже в виде интерфейсов, фить-ха!). А они его реализуют и предоставляют плагины, моды, расширения в виде загружаемой на ходу сборки, из которой рефлексия их и достаёт. И само собой, ваше API будет public. То есть, смотреть на internal через рефлексию невозможно технически и бессмысленно с практической точки зрения.

На этом можно было бы и закончить с рефлексией, но давайте вернёмся к предыдущему примеру, где A, I, B сидели на трубе:

namespace Pipe
{
    internal interface I
    {
        void SomeMethod();
    }

    internal static class IExtensions
    {
        internal static void SomeMethod(this I i)
        {
            i.SomeMethod();
        }
    }

    internal class A : I
    {
        public void SomeMethod()
        {
        }

        internal void OtherMethod()
        {
        }
    }

    internal class B : I
    {
        internal void OtherMethod()
        {
        }

        void I.SomeMethod()
        {
        }
    }
}

Автор класса A решил, что ничего страшного не случится, если метод internal-класса пометить как public, чтобы компилятор не ныл, и чтобы не пришлось городить ещё кода. Интерфейс отмечен, как internal, класс, его реализующий, отмечен как internal, снаружи до метода, помеченного как public, вроде бы никак не добраться.

И тут открывает дверь и тихонько крадётся рефлексия:

using Pipe;
using System;
using System.Reflection;

namespace EncapsulationTest
{
    public class Program
    {
        public static void Main(string[] args)
        {
            FindThroughReflection(typeof(I), "SomeMethod");
            FindThroughReflection(typeof(IExtensions), "SomeMethod");
            FindThroughReflection(typeof(A), "SomeMethod");
            FindThroughReflection(typeof(A), "OtherMethod");
            FindThroughReflection(typeof(B), "SomeMethod");
            FindThroughReflection(typeof(B), "OtherMethod");
            Console.ReadLine();
        }

        private static void FindThroughReflection(Type type, String methodName)
        {
            MethodInfo methodInfo = type.GetMethod(methodName);
            if (methodInfo != null)
                Console.WriteLine($"In type {type.Name} we found {methodInfo}");
            else
                Console.WriteLine($"NULL! Can't find method {methodName} in type {type.Name}");
        }
    }
}

Изучите этот код, вбейте его в студию, если вам так хочется. Тут мы пытаемся с помощью рефлексии найти все методы из всех типов нашей трубы (namespace Pipe). И вот какие результаты нам это даёт:

In type I we found Void SomeMethod()
NULL! Can't find method SomeMethod in type IExtensions
In type A we found Void SomeMethod()
NULL! Can't find method OtherMethod in type A
NULL! Can't find method SomeMethod in type B
NULL! Can't find method OtherMethod in type B

Сразу скажу, что используя объект типа MethodInfo, найденный метод можно вызвать. То есть, если рефлексия что-то нашла, то нарушить инкапсуляцию чисто теоретически можно. И у нас кое-что найдено. Во-первых, тот самый public void SomeMethod() из класса A. Это было ожидаемо, что тут ещё сказать. У этой поблажки всё-таки могут быть последствия. Во-вторых, void SomeMethod() из интерфейса I. Это уже интереснее. Как бы мы не запирались, но абстрактные методы, размещённые в интерфейсе (или что на самом деле там размещает CLR) на самом деле являются открытыми. Отсюда вывод, вынесенный в отдельный абзац:

Смотрите внимательно кому и какие объекты типа System.Type вы отдаёте.

Но тут ещё один нюанс с этими двумя найденными методами, который я хотел бы рассмотреть. Методы internal-интерфейсов и открытые методы internal-классов можно найти с помощью рефлексии. Как человек разумный, я сделаю вывод, что они попадают в метаданные. Как человек опытный, я этот вывод проверю. И в этом нам поможет ILDasm.

Беглый осмотр показывает, что в метаданные попадает всё, как бы оно ни было помечено. Рефлексия ещё заботливо от нас прячет то, что посторонним видеть не положено. Так что вполне может быть, что лишние пять строк кода на каждый метод internal-интерфейса не такое уж и большое зло. Тем не менее, главный вывод остаётся прежним:

Смотрите внимательно кому и какие объекты типа System.Type вы отдаёте.

Но это уже, конечно, следующий уровень, после воцарения ключевого слова internal во всех местах, где нет необходимости в public.

P.S.

Знаете, что самое классное в использовании ключевого слова internal везде внутри сборки? Когда она разрастётся, вам придётся её поделить на две и больше. А в процессе вам придётся взять паузу на то, чтобы сделать некоторые типы открытыми. И вам придётся задуматься о том, какие именно типы достойны того, чтобы стать открытыми. Хотя бы мельком.

Это означает следующее: эта практика написания кода заставит вас ещё раз задуматься о том, какую форму примет архитектурная граница между новорожденными сборками. Что может прекраснее?

P.P.S.

Начиная с версии C# 7.2 появился новый модификатор доступа private protected. И я пока понятия не имею, что это такое, и с чем его едят. Так как не сталкивался на практике. Но буду рад узнать в комментариях. Но не копипаст из документации, а реальные случаи, когда этот модификатор доступа может понадобится.

Автор: chelovekbeznika

Источник