Sentinel

【背景】 做了 8 年中间件，今年带团队推服务治理标准化。一个绕不开的问题是：重试（retry）、熔断（circuit breaker）、超时（timeout）这三样，到底放应用层 SDK（Sentinel / Resilience4j /

【背景】 我做了 10 年高并发服务，最近把几条核心链路的容量策略重新盘了一遍，发现团队里对「池子多大」这件事其实没有共识，而且不同人脑子里跑的是两套完全不同的模型： 一套是「固定容量派」：用 Little's Law（L = λ × R）

背景 我们一套订单+库存系统，Java 17 + Spring Boot 3.2，Redis 7.2（1 主 2 从 + Sentinel），客户端 Jedis 5.1（JedisPool，maxTotal=100、minIdle=10、m

背景 最近复盘一起下游故障：上游 64 个实例各自挂了本地熔断器，阈值都是「错误率 > 50% 且最小请求数 20」。下游其实已经半死不活，但每个实例的流量只占 1/64，单实例统计窗口里根本没攒够 20 个请求，熔断一个都没触发；等 P9

«结论先行："SET key val NX" 拿到锁这件事，本身不携带任何持久性保证。在 Redis Sentinel / 主从架构里，锁是写在单机主库上的一条普通 key，靠异步复制传给从库——主库在复制确认前宕机，这条锁就会从整个集群里

【背景】我负责一条 B 端 SaaS 的接口自动化（Python 3.11 + pytest 7 + httpx，约 500 条用例），后端 Spring Boot 3，网关层挂了 Sentinel 限流 + 熔断。用例是「造数 → 调接口

«结论先行：几乎所有基于"滑动窗口 / 令牌桶"的单机限流器，都默认时间源是平滑的；一旦 NTP 用 step 模式把本机时钟往前跳 300ms+，限流器会在同一瞬间把整个窗口的配额一次性烧完，表现就是"没有任何改动、突然一片 429"。这