恢复踩踏

背景 我维护一个 BFF 网关（Java 17 + OkHttp，线程池 200），下游是库存查询服务（Go，gRPC over HTTP2）。晚高峰稳态 3000 QPS。已经按社区惯例做了两层防护： 1. 客户端重试：最多 1 次，间隔

«作者视角：5 年分布式系统经验，专注安全加固与风险防范。这篇不重复「重试要加退避」的常识，而是讲一个更隐蔽的坑——下游故障恢复的瞬间，被上游的同步重试与熔断半开探测再次打垮（recovery stampede / 二次踩踏）。全文给可复现