default 分支应作为协议校验第一道防线，显式声明所有合法值，非法包立即记录、标记并终止处理；不同协议层需差异化处置强度，并通过测试、静态检查与告警确保其可观测性。
直接用传统 switch 语句 + 合理设计的 default 分支，就能在协议解析入口快速拦截非法包，不需要额外框架或中间件。
把 default 当成“协议校验闸门”
default 不是补丁，而是第一道防线。它不该等所有 case 走完才触发，而应承担“未被明确认可即视为非法”的语义。
- 所有合法协议字段值必须显式声明为 case，哪怕只有 2–3 个已知值
- default 分支不写业务逻辑，只做三件事：记录原始字节/字符串、标记为非法包、立即返回错误响应或丢弃连接
- 避免在 default 里调用 handleUnknown() 这类模糊方法——名字本身就在弱化严重性
针对不同协议层的 default 行为设计
同一份 switch 逻辑，在 HTTP 头、TCP 子协议、自定义二进制帧中，default 的处置强度应不同：
- HTTP/JSON 接口层：default → 记录完整请求体 + 返回 400 Bad Request + 设置 X-Protocol-Error 头
- TCP 应用层协议（如自定义指令码）：default → 关闭 socket 连接 + 上报 Prometheus counter（如 protocol_invalid_opcode_total{type="login"}）
- 嵌入式设备二进制帧解析：default → 触发 watchdog 日志 + 置位 error_flag = 0x01，禁止后续状态机推进
防止 default 被绕过或误触发
很多拦截器失效，不是因为没写 default，而是它被类型、空值或穿透逻辑悄悄绕开了：
- Java/C# 中 switch 表达式值为 null？先判空再进 switch，或把 case null 单独写在最前，否则 null 会直落 default
- Go/JS 中字符串比较要小心：case "OK" 不匹配 "ok" 或 "OK\r\n"，default 应记录原始 raw 值而非 trim 后的
- 每个 case 末尾必须有 break（或 return），否则一个错漏会导致多个 case 连带执行，让 default 形同虚设
配套验证：让 default 可观测、可测试、可告警
default 分支不能只靠“上线后看日志”，得让它主动说话：
- 单元测试必须覆盖至少一个非法输入，断言 default 是否触发、是否返回预期错误码、是否上报指标
- CI 阶段用 SonarQube 或 golangci-lint 检查 switch 是否缺失 default，对协议解析类文件设为 error 级别
- 线上 default 触发频率超过阈值（如 5 分钟 > 10 次）自动触发企业微信告警，并附最近 3 条原始 payload 截图
