当然可以改，不光配置可以，代码也可以反编译改了再编译回去。
如果想要防止修改再运行，有几种方案：
(1)掩耳盗铃版：将代码配置全部对称加密，然后将密码生成在内部的一个文件中，在类加载器加载时解密。效果：解压后，反编译或 VIM 全部乱码，不能修改，但如果知道运行步骤是可以找到密码和反编译启动的加密逻辑的。
(2)输入密码式：可以在启动时-Dpasswrod 输入密码，原理同上。效果：更安全，因为无法得到密码，光反编译加密逻辑不行。
(3)JDK 加密：第二种方式可以通过另一种方式获得，JAVA 探针，也就是对 JVM 进程 Hook ，然后直接反编译运行时字节码，然后拿到字节码后反向生成代码再编译。因此需要通过对 JDK 加壳进行防护，加密的逻辑被内嵌到 JDK 中，必须使用专用的 JDK 才可以启动。也就是将加密的攻防下沉到二进制层面，更难获得。
其他的比如网络远程服务认证、本地硬件码认证都是可以通过 Hook 形式反编译和断点绕过的，只是点越多越难绕而已。下沉到二进制层面就类似游戏外挂那种了，需要找进程号、内存地址解析、线程解析等，拼的是肝。