当字符串可变时，攻击是如何发生的？

问：

经常听到字符串是不可变的，这提高了安全性。我理解这样的想法，即由于字符串是最终的，因此以后无法更改其内容。但即使内容可以更改，我认为它仍然是安全的，因为代码是由开发人员而不是攻击者编写的。

否则在实践中，这种攻击实际上是如何进行的？

我在网上看到一个例子，表明如果字符串是可变的，攻击者可以绕过安全性。我不明白。以下代码由开发人员编写。这是攻击者永远无法触及的部分。无论字符串是否可变，攻击者永远无法修改其值，对吧？

public class FileInputStream
{
 private String filename;
 public FileInputStream(String filename)
 {
  if (!allowedToReadFile(filename))
  throw new SecurityException();
  this.filename = filename;
  }
  ...
 }