防御来自无知

防御性源于复杂系统的不确定性：任何模型都无法覆盖系统全部方面。好的代码会在边界处预设异常、冲突和不可信输入，让未知影响停在可控范围内。