System.exit 是强制终止 JVM 的指令，非异常且跳过清理流程，易导致服务雪崩、测试中断、资源泄漏等故障；应通过静态扫描、运行时兜底和架构隔离三层防御加以管控。
System.exit 不是异常，而是一条强制终止 JVM 的指令。它不抛出异常，也不走正常退出流程，而是直接“拔电源”。真正需要警惕的，是它被误用、滥用或未被拦截所引发的一系列连锁故障。
哪些场景下 System.exit 会悄悄闯祸
它常出现在开发者意图“快速收场”的地方，却忽略了运行环境的复杂性：
-
Web 应用启动失败时硬退出：比如配置加载失败、数据库连不上，代码里写个
System.exit(1)，结果 Tomcat 进程直接消失，注册中心剔除节点，下游调用雪崩 -
单元测试中提前退出：JUnit 共享一个 JVM 进程，
System.exit(0)一执行，整个测试套件戛然而止，后续用例全跳过，还可能误报构建成功 - Dubbo/ZooKeeper 初始化失败时调用：某些老 SDK 在构造 Registry 失败时直接 exit，但若该调用发生在主线程阻塞等待的上下文中（如 Dubbo 启动阶段），JVM 反而卡住不退出——因为 shutdown hook 被阻塞，而 exit 等它；放到新线程里反而能生效
- Android 主界面退出按钮：看似合理，实则绕过 Activity 生命周期，导致 Service 未解绑、BroadcastReceiver 未注销、内存泄漏，系统无法回收资源
为什么它比想象中更危险
关键不在“退出”，而在“怎么退”：
-
跳过所有清理逻辑：
finally块不执行、try-with-resources不关闭、shutdown hook可能卡死或被跳过，连接池、日志缓冲区、临时文件全悬在半路 -
混淆退出语义：操作系统只认退出码是否为 0，
System.exit(1)和System.exit(-1)效果一样，但后者在部分 Unix 系统会被转成 255，造成脚本判断失准 -
破坏容器生命周期管理：Spring Boot、Tomcat、K8s 都依赖标准关闭流程（如
/actuator/shutdown或 readinessProbe 下线），System.exit直接越权，让运维失去控制窗口 -
权限机制形同虚设：若有 SecurityManager，
checkExit()可拦截，但现代 JDK 默认不启用；一旦启用，又容易因策略配置不当导致合法退出也被拦住
三层防御策略，真正管住这一行代码
靠人盯代码不现实，必须嵌入研发全流程：
-
编码层拦截：CI 流水线集成静态扫描规则（SonarQube 自定义规则或 grep 正则
System\.exit），编译阶段即报错；IDE 插件实时高亮警告 -
运行时兜底：在 Spring Boot
ApplicationRunner中注册全局异常处理器，捕获RuntimeException或Error后记录堆栈、触发健康探针失活，而非调用 exit；禁用runFinalizersOnExit避免 finalize 干扰 - 架构层隔离：高风险模块（如配置中心客户端、消息订阅器）运行在独立进程或 Pod 中；初始化失败时仅降级功能（如禁用动态配置），保留 HTTP 接入能力，避免整机不可用
安全退出的正确姿势
退出不是目的，可控、可观察、可恢复才是目标：
- 命令行工具等单机程序：可用
System.exit(0)，但需确保无资源待释放；优先改用return让 main 自然结束 - Spring Boot 应用：用
SpringApplication.exit(context, exitCode)，它会先触发上下文关闭，再退出 - 容器化部署：依赖 K8s
preStop钩子 + readinessProbe 下线，配合应用内优雅停机（如关闭线程池、等待请求完成） - 替代暴力终止：对严重不一致状态（如内存损坏），
Runtime.getRuntime().halt()比System.exit更彻底，但也意味着放弃最后诊断机会，慎用
不复杂但容易忽略——真正的容错，始于对这一行代码的敬畏。
