防御式编程（Defensive Programming） 是一种预防性的编程思维。其核心哲学是：不信任外部输入，不信任组件间的协作假设，并假设代码运行的环境是不安全的。
在 Swift 项目中，防御式编程不仅仅是多写几个 if 判断，而是利用 Swift 强大的类型系统和错误处理机制，将潜在的运行时崩溃转化为编译时约束或优雅的错误处理。
1. 防御式编程的核心原则
- 保护子程序免受非法输入破坏：对所有进入函数的数据进行校验。
- 断言（Assertions） ：在开发阶段尽早发现违反假设的情况。
- 优雅降级（Graceful Degradation） ：当错误发生时，确保系统不会完全瘫痪。
- 显式处理故障：不要让错误静默发生。
2. 在 Swift 中的实践指南
A. 使用 guard 语句进行早期退出
guard 是 Swift 中防御式编程的基石。它强制开发者在函数逻辑开始前处理非法状态。
- 实践：在函数顶部校验可选值、权限、范围等。
- 优势：避免了嵌套的
if-let（即“金字塔困境”），让主逻辑保持在最左侧对齐，提高可读性。
Swift
func processOrder(id: String?, amount: Double) {
guard let orderId = id, !orderId.isEmpty else {
log.error("无效的订单ID")
return
}
guard amount > 0 else { return }
// 处理主逻辑...
}
B. 类型安全胜过字符串检查
防御式编程最好的方式是让“非法状态无法被表达”。
- 实践：使用
Enum代替String或Int来表示状态。 - 优势：编译器会强制你处理所有枚举情况。如果你增加了一个新状态，不处理它代码就无法编译。
C. 谨慎处理强制解包（!）与索引访问
-
实践：
- 集合访问：不要直接使用
array[5]，除非你能 100% 确定索引不越界。可以为Array编写一个安全的下标扩展。 - 强制解包：禁止在业务逻辑中使用
!。
- 集合访问：不要直接使用
Swift
extension Collection {
subscript(safe index: Index) -> Element? {
return indices.contains(index) ? self[index] : nil
}
}
// 防御式用法
if let item = items[safe: 10] {
/* 处理 item */
}
D. 失败的显式化：Error 协议与 Result
不要返回 nil 来代表复杂的错误原因，这会导致调用方不知所措。
- 实践：使用
throws或Result<T, Error>。 - 优势：强制调用方意识到“这里可能会失败”，并提供具体的错误上下文。
E. 断言与先决条件（Fail Fast）
在开发阶段，你应该希望程序在违反核心逻辑时“立即崩溃”，而不是带着错误的数据继续运行。
assert：仅在 Debug 模式下生效。用于检查那些“理论上不该发生”的情况。precondition：在 Release 模式下也生效。用于确保后续执行的绝对安全性。
3. 防御 vs. 过度设计
防御式编程不是让你在每个函数里都写几百行校验代码。
- 外部边界：在 API 调用、磁盘读取、用户输入处进行严格防御。
- 内部组件：在模块内部，通过**类型系统（如非可选类型）**来保证契约，减少不必要的冗余校验。
总结：防御式编程检查表
| 检查项 | 防御手段 |
|---|---|
| 非法输入 | guard 校验 & Optional 解包 |
| 数组/字典访问 | 安全下标扩展 & nil 合并 (??) |
| 状态管理 | 强类型 Enum |
| 关键假设 | assertionFailure |
| 异步/网络 | Result 类型 & 明确的超时机制 |
