fail-close

【背景】 做安全加固这几年，见过最典型的线上事故不是「漏洞被打了」，而是「安全组件挂了，默认动作选错了」： - 一个电商网关，鉴权 token 校验服务（独立微服务）挂了 40 分钟。因为网关里写的是 "try { validate(tok

【背景】 一个很日常、但每次聊起来都会吵起来的场景：服务 A 依赖下游风控 / 鉴权 / 计费，下游抖了或超时了，A 是「放行 + 事后补录」（fail-open），还是「拦截 + 事后人工放行」（fail-close）？ 我踩过的两个坑，