封装：让余额只能沿合法路径变化

选择一个公开行为。

事务日志

1. 开户 +100.00

不变量

Balance >= 0 始终成立。界面没有“直接修改 Balance”的入口，这正是 private set 的价值。