В этом примере метод orderItems возвращает ссылку на список, в котором хранятся заказанные товары. Клиент напрямую изменяет список, и объект Order не может проконтролировать изменения. Такие ситуации встречаются довольно часто, и это явная дыра в безопасности.
