.NET Core WebApp出现关键错误时直接终止运行是否为不良实践？

该做法是否属于不良实践？ #

该做法不属于绝对错误的实践，但在绝大多数生产部署场景下属于不推荐的操作，存在明确的弊端。

不推荐直接调用Environment.Exit(-1)的原因 #

• 会破坏容器/托管平台的自愈逻辑：当前主流的生产环境多采用K8s、云应用托管等容器化部署方案，强制终止进程会被平台判定为意外崩溃，触发默认重启策略。如果故障是数据库配置错误、账号无建表权限这类永久性问题，会导致应用陷入无限重启的死循环，反而提高排障成本。
• 存在资源泄漏或数据丢失风险：Environment.Exit(-1)是强制终止进程的操作，会跳过部分.NET Core自带的优雅释放逻辑，若此时存在未刷盘的日志、未提交的数据库事务、未完成的临界区操作，可能出现异常日志丢失、数据不一致的问题，哪怕你已经接入了log4net，也可能出现异常还没写入文件进程就被杀死的情况。
• 不符合.NET Core的设计规范：.NET Core原生提供了应用生命周期管理、健康检查等启动态管理能力，暴力退出会绕过这套标准机制，既无法给监控系统返回明确的故障原因，也不能执行优雅停机的收尾操作。

可替代的处理方案 #

• 方案1：使用原生健康检查机制
  如果只是希望依赖不就绪时不对外提供服务，可以把数据库连接、角色初始化状态加入启动健康检查项，初始化失败时应用会保持「未就绪」状态，不会对外暴露服务端口，同时监控系统可以直接抓取到明确的故障原因，运维人员可以快速定位问题，不会触发无意义的重启。
• 方案2：走优雅停机流程退出
  如果确认初始化失败后应用没有运行必要，不要直接调用Environment.Exit，先抛出启动异常，触发.NET Core自带的优雅停机流程，等待日志刷盘、资源释放完成后再退出，参考实现逻辑：

try
{
    // 执行预定义角色初始化逻辑
    await InitPredefinedRolesAsync();
}
catch (Exception ex)
{
    _logger.LogCritical(ex, "预定义角色初始化失败，应用无法正常启动");
    // 强制刷写log4net日志到磁盘
    log4net.LogManager.Flush(1000);
    // 调用.NET Core原生停止应用方法，执行优雅释放
    var appLifetime = serviceProvider.GetRequiredService<IHostApplicationLifetime>();
    appLifetime.StopApplication();
    // 兜底逻辑，若优雅停止超时再强制退出
    Environment.Exit(-1);
}

• 方案3：初始化逻辑与应用解耦
  如果是为了简化部署，更推荐把表结构迁移、角色创建这类初始化操作和Web应用拆分，单独做一个CLI工具或者部署脚本，部署时先执行初始化操作确认成功后，再启动Web应用，完全避免Web应用启动时执行初始化逻辑带来的各类问题，也更符合云原生部署规范。

内容的提问来源于stack exchange，提问作者Tiago Alves