fail-closed 设计只对钩子真正覆盖到的操作成立；若等价路径未注册钩子，系统对该路径实际为 fail-open，单点 fail-closed 不能推导出整体安全。