我们很容易把错误提示看成产品没有完成的部分。但在依赖外部数据、身份验证或自动化流程的工具里，怎样失败本身就是核心功能。
不可用也是一个有效结果
读取失败、权限不足和数据过期不是同一种状态。把它们都压成空白页面，用户就无法判断应该重试、重新登录，还是等待数据源恢复。
一个可靠的失败状态会保留原始边界：当前没有拿到什么，因此不能继续声称什么。它不补写结论，也不让旧数据冒充新数据。
停下的位置要尽量靠前
如果输入已经不可信，后续计算再准确也没有意义。检查应该尽早发生：先验证来源、日期和必要字段，再进入汇总、建议或展示。
对于可能改变真实状态的动作，失败保护还应覆盖权限、请求方法和用户确认。任何一层不满足，动作都不应该悄悄降级执行。
恢复路径必须可理解
只说“发生错误”不够。错误信息至少要让维护者知道失败层级、影响范围和下一次值得尝试的条件。这样停下来不是死路，而是一条清楚的恢复路径。