Проще говоря, эти коды нужно зашить в приложение? Для повышения безопасности. А если не известен клиент (любой регается/входит не только мобильное приложение, где этот секрет можно захардкодить)
Необязательно для мутабельного поля, а карбон наполовину иммутабельный, то есть изменяя поле, ты получаешь новый инстанс, а не изменяешь старый, поэтому да, в этом случае только с присваиванием.