.NET 9.0如何捕获非托管DLL抛出的System.ExecutionEngineException？

问题背景 #

我的.NET Core服务依赖若干非托管DLL，为提升健壮性，想捕获这类DLL缺陷导致进程崩溃的System.ExecutionEngineException，目标仅终止调用该DLL的线程，但这类异常不允许被捕获，请问原因是什么？另外，之前.NET 4.8中可以用System.Runtime.ExceptionServices.HandleProcessCorruptedStateExceptions特性实现捕获，.NET 9里有没有办法实现同样的异常处理？

为什么这类异常无法被常规捕获 #

System.ExecutionEngineException属于损坏状态异常（Corrupted State Exceptions, CSE），这类异常意味着非托管代码已经破坏了CLR的内部运行状态——比如篡改了托管堆内存、破坏了线程栈结构。此时CLR无法保证任何后续代码（包括异常处理逻辑）的安全性，甚至执行清理操作都可能引发更严重的崩溃。

.NET Core及后续版本（包括.NET 9）默认禁用捕获这类异常，是吸取了.NET 4.x时代的教训：当时允许捕获CSE导致很多开发者滥用，在程序状态已彻底损坏的情况下强行继续运行，引发了大量难以排查的稳定性问题。默认阻止捕获是为了强制开发者重视这类异常的严重性，避免程序进入不可控的"僵尸"状态。

.NET 9中的实现方案 #

虽然HandleProcessCorruptedStateExceptions特性在.NET Core+中被标记为过时，但仍有两种方式处理这类场景：

1. 全局开关+特性组合（兼容旧逻辑） #

先在应用启动时设置全局配置开关，启用损坏状态异常的捕获支持：

AppContext.SetSwitch("System.Runtime.ExceptionServices.CorruptedStateExceptionsPolicy", true);

然后在调用非托管代码的方法上，同时添加HandleProcessCorruptedStateExceptions和SecurityCritical特性（缺少后者特性可能无法生效）：

using System.Runtime.ExceptionServices;
using System.Security;
using System.Threading;

[HandleProcessCorruptedStateExceptions]
[SecurityCritical]
public void CallUnmanagedLibrary()
{
    try
    {
        // 调用非托管DLL的业务代码
    }
    catch (ExecutionEngineException)
    {
        // 仅执行最基础的资源清理，不要处理复杂业务逻辑
        // 终止当前调用线程
        Thread.CurrentThread.Abort();
    }
}

重要提示：即使捕获到异常，CLR的内部状态已不可信，绝对不要尝试恢复程序的正常运行，仅能做最小化的清理和线程终止操作。

2. 进程隔离（更安全的方案） #

如果核心目标是避免主进程崩溃，进程隔离是更可靠的选择：

• 将非托管DLL的调用逻辑封装到独立的辅助进程中，主进程通过进程间通信（IPC，如命名管道、gRPC）与辅助进程交互。
• 当辅助进程因非托管代码缺陷崩溃时，主进程可以直接重启它，完全不会影响自身的运行状态。
• 这种方式从根源上隔离了非托管代码的风险，安全性远高于捕获损坏状态异常。

内容的提问来源于stack exchange，提问作者Nick