System.exit 无内置防误调用机制，需通过 SecurityManager 拦截、第三方库隔离、结构化控制流、容器化监控及日志审计等多层防护实现安全管控。
System.exit 本身没有“防止被意外调用”的内置机制，它是一条无条件终止 JVM 的指令。真正能防止程序被意外强制退出的，是提前设防、分层拦截和运行时约束。
启用 SecurityManager 拦截非法调用
这是最直接的系统级防护手段。通过配置安全管理器，可禁止非授权代码执行 exit 操作：
- 在启动时添加 JVM 参数：-Djava.security.manager -Djava.security.policy==/path/to/policy.file
- 策略文件中明确拒绝 exit 权限：permission java.lang.RuntimePermission "exitVM"; → 不授予该权限，任何 System.exit() 都会抛出 SecurityException
- 注意：Java 17+ 默认禁用 SecurityManager，若需使用，需确认运行环境支持且未被框架（如 Spring Boot）自动禁用
避免第三方库或子线程误触发
很多意外退出源于依赖库内部静默调用 exit（如某些旧版日志组件、RPC 框架异常处理逻辑），防范重点在隔离与监控：
- 不将业务线程与第三方回调共用主线程上下文；对异步回调、消息监听器、定时任务等入口点做 try-catch 包裹，捕获并记录可疑的 SecurityException 或 RuntimeException
- 在关键初始化阶段（如 main 方法开头）注册一个轻量钩子，检查 System.getSecurityManager() 是否存在，作为运行时防护状态标识
- 容器化部署时，配合进程监控工具（如 systemd 的 RestartSec、K8s 的 liveness probe）识别频繁重启，反向排查 exit 调用源头
用结构化控制流替代裸调用
把“是否退出”从分散的 exit 语句，收束到统一出口，从根本上减少误用可能：
立即学习“Java免费学习笔记（深入）”；
- 主流程用 return 或抛出自定义异常（如 AppExitException），在 main 最外层统一捕获并决定是否调用 System.exit()
- 命令行工具中，用 volatile 标志位（如 volatile boolean shouldExit = false）驱动主循环退出，而非多处散落 exit
- Web 或服务类应用完全禁用 System.exit()，改用框架关闭接口（如 Spring Boot 的 SpringApplication.exit(context, 0)），由容器接管生命周期
日志与监控兜底识别
即使防护失效，也要确保能快速定位谁、何时、为何触发了 exit：
- 在所有可能调用 System.exit() 的位置前加日志，例如：log.warn("Exiting due to config load failure, code=3");
- 注册一个全局 shutdown hook，记录 exit 前最后堆栈（可用 Thread.getAllStackTraces() 快照关键线程）
- 利用 JVM TI 或字节码增强（如 Byte Buddy）在运行时拦截 Runtime.exit() 方法调用，记录调用方类名与行号，用于生产环境审计
