导入配置需要一条明确的数据路径

商品导入程序同时接受默认值、配置文件和命令行选项，最终得到每批处理条数。外部输入仍是文本，但运行逻辑需要一个有限范围内的正整数。Commons CLI 可以识别选项，Configuration 可以组合来源，BeanUtils 可以把文本赋给属性；这三步都不能单独证明最终配置符合业务要求。

本篇把流程限定为解析参数、按优先级取值、受控插值、白名单绑定和领域校验。测试全部使用合成参数数组与内存配置，没有执行 shell 命令，也没有读取真实环境变量或系统配置。完整源码见 Extension05Test.java，复跑说明见 RUN.md。

固定版本为 Commons CLI 1.11.0、Configuration 2.15.1、BeanUtils 1.11.0，均选择正式的 Java 8 兼容发行版。对应源码提交分别是 d74613321325f6081fa0206c4ab608ab65d80e2e、51f8140ab63e2904c6a5c46fecf841fd5e34c492 与 9c0b5cf007818c3fb1ac36d5ed394d56d0fd13c3。BeanUtils 2 的包名与版本线不同，不混入本次实验。

CLI 解析的是参数数组，不是 shell 命令文本

Java main 接收 String[]，通常已经经过启动环境的参数切分。测试把 --name 与 two words 作为两个数组元素传入，结果值就是含空格的 two words。库不需要再按照空格把这个值拆开，否则反而破坏了输入边界。

本例关闭 stripLeadingAndTrailingQuotes。若数组中的值真的包含成对双引号或单引号，这些字符会保留；测试分别覆盖两者。它们与用户在 shell 中输入引号、由 shell 消费掉引号的情况不同。把一整条命令先手工 split，再传入 CLI，不是通用的 shell 解析替代方案。

DefaultParser 固定源码围绕已经切分的 token 判断长选项、值和非选项参数。它还提供部分匹配和去外层引号等策略，这些配置会改变接收范围。测试显式关闭长选项部分匹配，--cou 不再作为 --count 的缩写被接受。

必需选项、未知选项与位置参数分别验收

count 被声明为必需且需要一个值；name 是可选值。缺少 count 时抛 MissingOptionException，增加未声明 admin 时抛 UnrecognizedOptionException。两条反例帮助区分“不完整输入”和“输入包含未授权选项”，不能只在成功解析后检查某个字段是否为空。

双连字符 -- 是明确边界。测试传入 count 后再给 -- literal --admin，后两个 token 成为位置参数，其中 --admin 不再被解释为选项。这是解析协议的一部分，应用仍需决定是否允许位置参数。不能因为未知选项被拒绝，就认定所有以连字符开头的文本都永远无法出现。

输入形态 本例结果 后续责任
缺 count 必需选项异常 报告缺失配置
未声明 admin 未识别选项异常 不继续绑定
缩写 cou 未识别选项异常 避免升级后缩写歧义
name 值含空格 一个完整字符串 不二次按空格切分
-- 后的文本 位置参数 应用决定是否接收

第一项可迁移模式是每一层只解释自己拥有的语法。shell、参数数组、选项解析与配置字符串不是同一种输入，重复解析可能扩大能力或损坏字符。测试应直接构造该层真实接收的数据类型，而不是把上一层的视觉写法当成同一对象。

来源优先级不应藏在读取顺序之外

本例规定命令行覆盖文件，文件覆盖默认值。CompositeConfiguration 按 CLI、file、defaults 的顺序加入三份配置；它们分别给 count 赋 3、2、1，最终 getInt 得到 3。清除 CLI 中的 count 后，再读得到 2。

这项检查不仅证明优先级，也说明组合对象仍依赖其子配置。清除上层值后，下层值重新可见，不等于组合时已经复制成一份不可变最终配置。若运行任务需要稳定配置，应该在启动前解析并校验，然后构造任务专用值对象，而不是在每次循环中重新查询一个可变化的组合来源。

CompositeConfiguration 固定源码沿配置列表解析属性。顺序决定优先级，但业务还要决定某来源中的空字符串、空集合或无效文本是否应覆盖下层有效值。当前测试验证的是明确数字字符串，不把空值合并策略留给未经检查的默认行为。

命令行 count 是文本，Configuration.getInt 才执行类型读取。解析器接受一个 token，并不表示它是合法数字；类型读取成功，也不表示它落在允许范围。错误报告应保留来源和键名，便于定位哪一层覆盖了原本有效的值。

列表分隔符会改变值的基数

配置值 a,b\,c 在启用逗号列表分隔处理后，得到两个元素：a 与 b,c。反斜杠在这个配置字符串中承担转义分隔符的职责，与命令行 shell 引号不是同一套规则。测试直接把字符串交给配置对象，再检查实际 List 内容。

如果业务字段本来就是包含逗号的单段文本，启用列表分隔就可能改变它的类型和数量。列表政策应按来源与字段约定，不应因为某个库支持分隔符，就全局对所有字符串打开拆分。字段值通过多个处理层时，要知道反斜杠由哪一层消费，避免重复反转义。

缺失字段也不等于空列表，空列表也不等于只含空字符串的列表。业务有时需要区分“保留原设置”“删除全部设置”和“设置一个空值”。组合配置提供读取接口，却不能替调用方定义这些状态，应在最终配置模型中明确表达。

插值只登记需要的查询能力

示例创建新的 ConfigurationInterpolator，只登记 cfg 前缀，并让它查询一个只含 host 的内存 Map。配置 https://${cfg:host} 得到 example.invalid 域名；${cfg:absent} 保持未解析，${env:SYNTHETIC_ONLY} 也没有启用环境查询能力。

应用辅助方法 resolved 在结果为 null 或仍含 ${ 时抛异常。测试确认两种未解析情况都失败，没有以访问某个真实环境变量来证明“访问被禁止”。核心限制是 resolver 注册集合，而不是对一个危险名称进行临时字符串过滤。

ConfigurationInterpolator 固定源码把解析结果交给 StringSubstitutor，并提供前缀 lookup 与默认 lookup 机制。使用现成的广泛默认配置，和从空注册集合只加一项能力，具有不同的信任范围。

本例没有实现一套完整模板安全语言。检查残留占位符会拒绝希望字面展示 ${ 的字符串，也不等于拒绝所有可用默认值语法；若允许用户任意编辑模板，还需要明确默认值、递归、输出长度与允许前缀的完整政策。当前任务只需要服务端定义的简单模板和受控值，因此采用较小的输入范围。

反射绑定前先做精确键白名单

ImportConfig 包含 count 和 admin 两个属性，但外部输入只允许 count。绑定函数先检查所有键是否属于单元素白名单；只要出现其他键，整次绑定在调用 BeanUtils 前失败。测试覆盖 admin、class、classLoader、class.classLoader、count[0] 和 admin(value)。

这些名称分别代表普通敏感属性、元对象相关属性和嵌套、索引、映射表达式。本例不是尝试执行这些表达式再观察是否危险，而是根本不允许它们进入反射解析层。白名单针对最终接受的完整属性名，不能只检查字符串是否包含某个敏感片段。

BeanUtils 1.11.0 默认抑制 class 属性，测试直接检查其 PropertyUtils 返回的 descriptor 为 null。固定 PropertyUtilsBean 源码注册了相应 introspector。这是库自身的保护，但不应成为放弃应用字段白名单的理由：业务对象仍可能有许多合法但不应由外部控制的 setter。

第二项可迁移模式是先收窄可赋值对象面，再使用动态机制。反射减少的是访问属性的样板代码，不能替代授权决策。只有一个字段时，手写转换与 setter 调用可能更清晰；在字段较多且模式明确时，白名单反射绑定才有可解释的收益。

转换失败不应自动变成业务零值

默认 BeanUtilsBean 将本例字符串 not-a-number 赋给 primitive int，得到零。测试保留这个结果，防止把“没有抛异常”误认为输入确实是数字。默认转换器的回退值属于转换政策，不是库存或批量条数的领域默认值。

正式绑定路径创建独立 ConvertUtilsBean，给 int 注册没有默认回退值的 IntegerConverter。相同非法数字因此抛 ConversionException。使用局部实例也让转换政策属于这条绑定路径，避免通过共享静态转换器改变其他调用方行为。

数字 -1 可以成功转换成 int，却被后续领域校验拒绝，因为 count 必须在 1 至 1000 范围内。这个反例说明严格类型转换仍不是完整业务验证。范围、互斥条件、组合依赖与权限都需要在类型成立之后检查。

绑定先写入一个新 candidate，再执行校验，只有通过后才返回。若把外部属性逐个写进正在运行的配置对象，中途某字段失败可能留下部分更新。临时对象与最终发布分开，可以让失败不改变活动配置；并发发布的可见性和原子性仍需由上层实现。

标准库与组合成本

配置日志应记录最终采用的来源和键，但不应默认输出全部原始值。name 可能只是展示文字，其他配置却可能包含凭据；动态绑定框架不知道哪些字段敏感。可以为允许字段单独登记是否可显示，并在诊断中报告转换或范围失败，避免把整个外部 Map 直接拼进异常消息。

本例在进入反射前一次性检查所有键，因此不会先写 count 再发现 admin 被禁止。若未来白名单扩大，仍应保持这个顺序，并在候选对象上完成全部校验。安全边界依赖流程顺序，而不只是存在一个名为 allowed 的集合。

少量固定选项可以手工遍历 String[]，Properties 可以读取简单键值，Integer.parseInt 与显式 setter 可以完成严格绑定。第三方库在复杂选项、组合来源和大量受控属性上减少重复代码，但也带来默认规则和动态表达能力，必须把这些规则纳入测试。

本组没有读取真实配置文件、执行命令或触发配置热更新。三个测试在双 JDK 上通过，覆盖参数形态、覆盖与插值、白名单与转换边界；可复跑工程见 下载实验工程。未测试文件监听、网络配置源或并发更新，因此不把这些能力视为已经交付。

手算题：CLI 为 3、文件为 2、默认值为 1，清除 CLI 的键后是否恢复为 1？不是，文件层仍提供 2。改动练习是增加第二个允许属性，在它转换失败时断言活动配置完全不变；要求候选对象验证完成后才发布，而不是捕获异常后继续使用半更新对象。

判断关键词 可迁移模式 具体选择
引号、空格 只解释当前层语法 接收真实 String[]，不模拟 shell
override 来源优先级与运行快照分开 明确顺序，启动前构造稳定配置
lookup 能力先收窄 从空插值器登记受控前缀
reflection 授权先于赋值 精确键白名单，再严格转换和领域校验

系列起点：可复现基线。