gRPC 服务端流式响应为什么把下游打挂：HTTP/2 流控、背压与取消传播的三个坑

结论先行：gRPC 的 server-streaming 接口，OOM 和 goroutine 泄漏的根因几乎都不是"发不出去"，而是"服务端在内存里预生成了全量数据"，以及"客户端取消后服务端 goroutine 没感知到、继续空跑"。HTTP/2 流控窗口（flow control）只是把字节在网络上拦住了，拦不住你进程里已经 marshal 好的那部分。下面是一条真实链路的排查记录。

一、现象与背景：一次 server-streaming 接口的 OOMKilled

场景：一个审计日志导出服务，gRPC server-streaming 接口 StreamAuditLog(ExportReq) returns (stream LogEntry)，单次调用要把某个租户近 30 天的审计日志逐条推给下游。

• 单次导出约 8 万条日志，单条约 512B，全量约 40MB；
• 高峰期下游约 200 个并发导出流（每个走独立 stream）；
• 服务端是 Go 1.22 + gRPC-Go v1.63，跑在 3 节点 K8s 1.28，单 Pod 内存 limit 4Gi；
• 事故表现：高峰期 Pod RSS 从基线 1.2GB 一路涨到 9GB+，被 kubelet OOMKilled，kubectl get events 里是 OOMKilled，客户端侧则是大量 UNAVAILABLE + RST_STREAM。

一开始我以为是"发得慢导致堆积"，方向错了。真正的问题在服务端生产侧，下面拆开讲。

二、根因：HTTP/2 流控窗口 ≠ 服务端内存上限

先把机制讲清楚，这是所有坑的来源。

1. HTTP/2 流控是"字节级"，不是"消息级"。gRPC 把每条消息封成 HTTP/2 DATA 帧，但底层流控按字节走：发送方只能发"接收方已通告窗口"内的字节，接收方靠 WINDOW_UPDATE 归还。RFC 7540 的 wire 默认窗口是 2^16 − 1 = 65535 字节（约 64KB）（stream 级与 connection 级各一份），Go 的 http2 栈会把它调大，但始终是有限值。
2. stream.Send(msg) 返回 ≠ 字节已上线。gRPC-Go 的 Send 内部先把 msg marshal 成字节，再交给 transport 写缓冲；真正受窗口节制的是"写缓冲→网络"这一步。客户端读得慢时，已 marshal、未发出的字节会留在服务端内存里。
3. 单条消息上限是另一道闸。gRPC-Go 默认单条消息上限是 4MB（defaultServerMaxReceiveMessageSize = 4×1024×1024 = 4194304 字节），这是硬天花板，和流控窗口是两码事。
4. 单连接并发流有上限。Go http2 服务端默认 MaxConcurrentStreams = 250，所以 200 个并发导出流恰好卡在接近上限的位置。

把这四条合起来，OOM 的因果链就清楚了：我原来的实现是"先把 8 万条一次性 SELECT * 查出来、marshal 成 []LogEntry 再循环 Send"。即使 HTTP/2 窗口一次只放行 64KB~几 MB，我进程里已经持有了全量 40MB × 200 流 = 理论 8GB 的对象——这就是 RSS 冲到 9GB 被杀的直接原因。窗口拦住了网络，没拦住我的堆。

三、具体做法（可复现）

1. 生产侧改"游标分页流式查"，别全量预取。 每 batch 1000 条，用主键游标，避免 SELECT * 全量：

-- 每批，last_id 为上一批最后一条的 id；按主键游标，稳定且不丢不重
SELECT id, ts, actor, action, payload
FROM t_audit_log
WHERE tenant_id = ? AND id > ?          -- last_id
ORDER BY id
LIMIT 1000;

2. handler 里每个 batch 都 select ctx.Done()，让取消能中断生产循环。 这是防 goroutine 空跑的关键：

func (s *svc) StreamAuditLog(req *pb.ExportReq, stream pb.LogService_ExportLogServer) error {
    lastID := int64(0)
    for {
        // 关键：客户端取消/超时后，下一轮立刻退出，不再查库、不再 Send
        select {
        case <-stream.Context().Done():
            return stream.Context().Err() // 通常是 Canceled / DeadlineExceeded
        default:
        }

        rows, err := s.repo.NextAuditBatch(req.TenantId, lastID, 1000)
        if err != nil { return err }
        if len(rows) == 0 { return nil }

        for _, r := range rows {
            if err := stream.Send(r.ToProto()); err != nil {
                return err // 客户端 RST/断连时，Send 会在这里返回 error
            }
            lastID = r.ID
        }
    }
}

3. 单条确实大时，显式调大消息上限，两端配对。 默认 4MB 不够时：

// 服务端
srv := grpc.NewServer(grpc.MaxSendMsgSize(16 * 1024 * 1024)) // 16MB
// 客户端必须同步调，否则收 4MB 以上直接 ResourceExhausted
conn, _ := grpc.NewClient(addr,
    grpc.WithTransportCredentials(insecure.N