非受检异常是失败信使而非机制驱动者，其核心作用是封装加载失败事实并实现fail-fast；通过extensionloadfailureexception统一包装底层错误，在初始化阶段集中捕获重抛，结合tccl显式管理、分级加载策略与spring条件装配增强可观测性。
非受检异常本身不能“隐式传播”来破坏双亲委派，也不能直接驱动 SPI 加载流程。真正起作用的是线程上下文类加载器（TCCL），异常只是加载失败后的反馈信号。打造高容错脚手架的关键，在于把非受检异常用在恰当的位置——作为统一、轻量、无需强制捕获的容错出口，配合 SPI 的可观察加载体系。
明确异常的定位：不是机制驱动者，而是失败信使
ServiceLoader.load() 的行为由 TCCL 决定，与是否抛出 RuntimeException 无关。异常的作用是封装加载失败事实，让问题暴露得早、看得清、拦得住：
- 定义 ExtensionLoadFailureException extends RuntimeException，包装 ServiceConfigurationError、NoClassDefFoundError 等底层错误
- 在脚手架初始化阶段（如
@PostConstruct或自定义ApplicationContextInitializer）集中捕获并重抛，实现 fail-fast - 记录关键上下文：接口全限定名、TCCL 类型、JAR 路径、类加载栈，避免“静默跳过”导致后续 NPE
分级加载策略：核心必须稳，可选允许退
不是所有扩展都同等重要。按业务影响划分加载等级，用异常语义表达成败意图：
-
核心扩展（如日志适配器、配置中心客户端）：加载失败直接抛
ExtensionLoadFailureException，中断启动 - 可选扩展（如指标上报、审计日志插件）：仅记录 WARN 级日志，不抛异常，主流程照常运行
- 通过配置项（如
spi.core.required=true）控制是否启用某类扩展，避免硬编码依赖
TCCL 显式管理 + 异常兜底：消除隐式风险
默认 TCCL 可能被中间件或线程池污染。在 SPI 加载前主动设置，再用异常保障兜底：
- 加载前执行
Thread.currentThread().setContextClassLoader(pluginClassLoader) - 加载后恢复原始 TCCL，避免跨插件污染
- 若设置失败或加载时抛出
SecurityException/NullPointerException，仍以ExtensionLoadFailureException包装后抛出
结合 Spring Boot 自动装配增强可观测性
利用 @ConditionalOnClass、@ConditionalOnMissingBean 等条件注解，让 SPI 加载结果参与 Bean 创建决策，并通过异常快速暴露冲突：
- 当多个 SPI 实现同时存在且互斥时，校验逻辑抛出
ExtensionLoadFailureException("duplicate impl for X") - 在
AutoConfiguration中捕获该异常并转为IllegalStateException，触发 Spring 启动失败，避免误用默认实现 - 暴露
/actuator/spi-status端点，返回各扩展加载状态（loaded / failed / skipped）及异常摘要
