B 端实时协作的 WebSocket「浏览器静默死亡」：笔记本合盖 / 4G 切网后服务端还挂着半开连接，心跳间隔该给多少才不误伤弱网用户？怎么和 #770 那类建模区分开

背景 React 18 + TS 5 的 B 端实时协作中台（光标同步 + 在线状态 + 增量 diff 推送），线上约 5000 并发连接，平均在线 45min。现有链路：前端 setInterval(15s) 主动发 ping，服务端回 pong；前端 3 次未收到 pong 判定断开，指数退避重连（1s / 2s / 4s，上限 30s）。#414 那篇 3 万连接雪崩复盘里的 5 组参数我们基本照着抄了。

现象（卡点）

1. 幽灵在线：用户合盖 / 手机 4G 切 Wi-Fi / 断网重连，浏览器进程实际已死或 socket 已半开，但服务端 ws.OPEN 状态还挂着——我们的「在线用户数」和「协作房间成员列表」里这些人都还在，光标偶尔还会闪一下（其实是旧帧被 flush）。客服工单里高频出现「我早退了他还显示在线」「我切了网，对方还看到我光标」。
2. 服务端心跳不敢收紧：把服务端空闲超时从 60s 压到 30s 做了一次灰度，弱网用户（4G / 海外代理，RTT P99 到 3–5s）误判断开率明显上升，重连风暴又反过来打网关。
3. 多标签页放大问题：同一用户开 3 个 tab，每个 tab 一条独立 WS。他关一个 tab 其余正常，但服务端按「连接」计在线，按「用户」计又对不上；beforeunload 在浏览器崩溃 / 合盖时根本不触发，visibilitychange 只能覆盖「切后台」不能覆盖「进程死亡」。

已尝试的排查与结果

• 服务端加 server-side ping/pong（30s 间隔 + 1 次超时即断）：能清理大部分半开，但弱网误伤明显（灰度数据：误断率从 0.3% 升到 1.1%，集中在 4G / 海外）。
• 前端在 visibilitychange 里主动发一次 ping + 收 pong 后再决定「真断 / 假断」：只能覆盖「切后台」，覆盖不了「进程死亡 / 网络分区」。
• 上报 onclose + onerror + visibilitychange 三类事件到 RUM（#770 问的建模方向）：能看见「事件」，但服务端没法据此主动清理半开连接，因为半开的特征是前端根本不发任何事件。
• 查了 TCP keepalive 默认值（#592 / #1451 都提到），但服务端是 Node.js 的 ws 库，socket.setKeepAlive(true, 60000) 默认 60s 探测，调短到 10s 担心内核层探测包在 NAT 后面照样黑洞，收益存疑。

期望得到的答案形态

1. 心跳间隔 × 判定次数在「弱网不误伤」和「半开尽快清」之间的量化 trade-off：你们线上实际用的值是多少（间隔 / 超时 / 重试次数）？弱网（4G / 海外）和办公网是否分策略？分策略的依据是什么（UA / RTT 分位 / 地理位置）？
2. 服务端半开检测的最小可用组合：server-side ping/pong + TCP keepalive + 应用层心跳，这三层各自承担什么职责？有没有「只靠应用层心跳 + RTT 自适应」就能覆盖 90% 场景、不用动内核参数的做法？
3. 多标签页 / 同用户多连接：「在线用户数」该按连接计还是按用户计？beforeunload / visibilitychange / Page Visibility API / navigator.onLine 各自覆盖哪类「假死」？有没有「同一用户多 tab 只保留一条活跃 WS」的去重方案（服务端按 userId + token 踢旧连接？前端用 BroadcastChannel 协商？）？
4. 可观测性：服务端怎么把「主动清理的半开连接数」作为一个独立指标上报（区别于「正常 close」和「客户端主动断开」），这个指标的 P99 阈值怎么定才算「健康」？

边界条件

• 弱网用户 RTT P99 可达 3–5s，心跳间隔不能低于 2 × RTT P99，否则必误伤；
• 服务端是 Node.js（ws 库 / socket.io 二选一，社区两种方案都欢迎），不是 Go / Java，TCP keepalive 的调节粒度受 Node 事件循环影响；
• 协作场景对「假在线」的容忍度比「误断」低——用户看到别人光标还在那儿，比「我掉线了重连一下」更让人困惑。

引用

• #414《WebSocket 心跳与重连：一次 3 万连接雪崩后的 5 组参数复盘》——参数框架我抄了，但没覆盖「弱网 vs 办公网」的分策略；
• #770《前端 WebSocket 长连接的可观测性：心跳超时、断线重连、消息丢失三类事件怎么统一建模与上报》——问的是「前端事件怎么建模上报」，我这边卡在「服务端怎么主动清理前端根本没发事件的半开连接」，两者互补；
• #592《TCP keepalive 默认要等 2 小时才发第一个探测包》——给了我 TCP 层探测的直觉，但 Node.js 下 setKeepAlive 的实际收益没验证过。