System.exit 是仅用于程序启动失败等极早期场景的熔断开关，需前置清理、明确语义、避开业务主流程；应优先用自然返回替代，辅以 shutdown hook 做尽力而为兜底。
System.exit 在控制台应用中不是“退出手段”，而是“熔断开关”——只在程序根本无法继续运行时启用，且必须前置清理、明确语义、避开业务主流程。
只用于启动失败等极早期场景
控制台程序的 main 方法刚启动、尚未进入核心逻辑前，才是 System.exit 的合法使用窗口。此时无活跃任务、无资源依赖，退出不会导致数据丢失或状态不一致。
- 命令行参数解析失败（如必填参数缺失、格式非法）→ System.exit(2)
- 配置文件读取失败且无降级方案（如 license.yml 不存在或签名无效）→ System.exit(3)
- 关键端口被占用、日志目录不可写等环境校验失败 → System.exit(4)
退出前必须显式完成关键清理
System.exit 跳过 finally 和 try-with-resources，所以所有必须执行的收尾操作，得手动写在调用前：
- 关闭已打开的 FileInputStream / FileOutputStream，调用 close()
- 刷新日志缓冲区（如 Logback 中 ((LoggerContext)LoggerFactory.getILoggerFactory()).stop()）
- 写入临时中断标记文件（如 .last_exit=aborted），供下次启动时识别异常状态
- 避免在 cleanup 中调用阻塞 IO 或等待锁，防止 exit 卡住
用 shutdown hook 做“尽力而为”的兜底
注册 shutdown hook 是 exit 后唯一能执行 Java 逻辑的机会，适合做非关键但有益的收尾：
- Runtime.getRuntime().addShutdownHook(new Thread(() -> { flushMetrics(); saveTempState(); }))
- 确保 hook 内不抛未捕获异常，否则可能阻塞整个退出流程
- 不依赖 hook 完成事务性操作（如数据库 commit），它不保证执行成功或及时
- hook 不会在 Runtime.halt() 下触发，也不受 SecurityManager 限制
优先用自然返回替代强制退出
对多数控制台工具，让 main 方法自然结束更安全、更易测试：
- 把主逻辑封装为 run() 方法，用 return 控制分支退出
- 使用 volatile boolean running = true; while (running) { ... } + 外部设标志位退出
- 抛出自定义 ExitException(code)，在 main 外层统一捕获并 System.exit(code)，集中管理日志与状态码
- Shell 脚本依赖 $? 判断结果时，仍可返回对应 exit code，只是路径更可控
真正规范的控制台退出，靠的是结构化流程设计，而不是依赖 exit 的暴力终止。
