服务端开发博客 | 后端架构 · 高并发 · 性能优化 · 微服务实战 👋🏼

引言 先还原一个真实的排障现场： 业务方反馈"消费有延迟"，你登录服务器： 先看 Broker 日志？几千行，没有明显报错 再看监控大盘？只有集群级指标，看不出哪个组慢了 想查 Lag，敲 kafka-consumer-groups.sh --describe？几十个消费组、几百个分区刷屏，肉眼比对到眼花 最后定位到根因只花 20 分钟，但**"找到该看什么"花了 2 小时**。 Kafka 排障的痛点从来不是"看不到问题"，而是没有趁手的工具把问题呈现出来。这篇文章把我运维 Kafka 集群（3 副本、50+ Topic、日均 2 亿消息）沉淀下来的 5 个工具一次性讲清： Kafka UI——开源 Web 管理界面，Topic/消费组/Lag 一目了然，日常排障主力 kafka-topics.sh——命令行建/删/改 Topic，一切自动化操作的基础 Kafka Manager——Yahoo 出品，集群级监控的鼻祖 CMAK——Kafka Manager 的社区延续版，现状与选型必知 Burrow——LinkedIn 出品，消费 Lag 的智能告警（不靠拍脑袋定阈值） 每个....

引言 面试高频题，也是最难答好的一题： "Kafka 的消息都持久化到磁盘了，为什么还能单机扛百万级消息？Redis 数据放内存不是更快吗？" 大多数人的回答是背一句"Kafka 顺序写 + 零拷贝"，再往下追问就露馅了： 为什么顺序写就快？内存 25GB/s，磁盘顺序写才 200MB/s，差 100 倍呢 PageCache 是什么？Kafka 为什么自己不搞个缓存？ 零拷贝到底省了几次拷贝？省的是谁的钱？ 批量和压缩跟"快"有什么关系？ 先给一组我们生产环境的真实数据（3 副本、NVMe 盘、2KB 消息、acks=all）：单 Broker 稳定跑 80 万 msg/s，CPU 使用率不到 40%，磁盘 util 长期低于 30%。既没吃满 CPU，也没吃满磁盘——因为它在四个环节上同时"不浪费"。 这篇文章按一条消息的生命周期拆四板斧：顺序写（消除磁盘随机 IO）→ PageCache（读写走内存）→ 零拷贝 sendfile（消除无谓的数据拷贝）→ 批量+压缩（消除网络往返）。每板斧都给原理图 + 性能数据对比 + 关键参数。先放结论总表，后文逐个展开： 环节普通....

引言 "上周三晚上，支付服务突然不响应，登录到机器上 screen 早已刷不动。值班同学的第一反应是重启——被拦下来了。30 分钟后我们还原出了完整的事故链条：top -H 看到一个线程 CPU 100%（不是进程，是 GC 线程），jstack 确认是 Young GC 风暴，ss -s 发现 ESTAB 连接只有 47 条但 SYN-RECV 堆了 4000+，lsof 揪出一个 Tomcat 容器拿着已被删除的 42GB 日志文件不放手——磁盘早满了，GC 日志都写不出来，一连串症状相互掩盖。如果按'感觉像什么就查什么'的乱枪打法，这 30 分钟可能变成 3 小时。" 排障和破案一样：新手靠猜，高手靠证据链。而证据链的生产工具，就是那几个看起来平平无奇的 Linux 命令。这篇文章按"从系统到进程、从现象到根因"的排查路径，精选 5 个我日常使用频率最高、也最容易拉开效率差距的命令：ss（网络连接）、lsof（谁占着端口/文件）、strace（进程卡在哪次系统调用）、top -H（哪个线程在烧 CPU）、jstack（Java 线程在等什么）。每个命令只讲三件事：实战场景（什么症....

引言 新同事入职第一天写了个调用：定义一个接口 @FeignClient(name = "user-service")，方法上标个 @GetMapping，然后 @Autowired 注入就发 HTTP 请求了。他盯着代码看了十分钟，跑来问我："这个接口没有任何实现类，Spring 是怎么把它实例化出来的？userMapper.query() 这种调用，方法体里明明什么都没有，参数怎么就变成 JSON、URL 怎么就拼出来了？" 这确实是 Spring Cloud 里体验最"魔法"的一块。更有意思的是上个月刚排的一个线上问题：我们调用户服务的 GET /user/query 查询接口，前端传参是 UserQuery 对象，Feign 一发出去，对端直接回了 405 Method Not Allowed——查了半天发现请求方法变成了 POST，body 里躺着那个 Query 对象。为什么会变？答案就藏在"Java 方法如何被翻译成 HTTP 报文"的翻译官——SpringMvcContract 的解析规则里。 这篇文章就沿着"魔法"的生成路径逐层拆开：@EnableFeignClien....

引言 "迁移演练一切正常，正式切流后第 3 天，客服接到用户投诉：同一笔订单在'我的订单'里能看到，点进详情页却是'订单不存在'。排查两小时，发现读流量已经 100% 切到 PG，但一条 9 个月前的历史订单在 MySQL 里有、PG 里没有——当初 pgloader 跑全量时，这张表刚好漏了两个分片，而我们的校验脚本只对了'当天数据'。" 这是 2024 年我们订单库迁移中最深刻的一次教训：迁移的成败不在"搬数据"本身，而在流程的严密性——全量、增量、校验、切流、回滚，任何一环的侥幸都会变成线上的故障。这次迁移的对象是 5000 万行订单库（20 张核心表 + 80 张次要表），从决定迁移到 MySQL 归档下线共 6 周，全程零停机、零数据丢失，期间还真实触发了一次回滚演练。 系列前三篇解决了"为什么迁"（《为什么从 MySQL 迁移到 PostgreSQL》）、"语法差在哪"（《MySQL→PostgreSQL 语法迁移对照》）、"迁了值不值"（《MySQL vs PG 性能横评》），这篇补上最后一环——怎么迁。完整流程六步：pgloader 全量迁移 → 应用层 SQL 改造 ....

引言 "周三晚上 20:00 大促前的最后一次发布，测试全绿，发布完成后 22:30 用户量一上来，接口全部超时。排查发现是一个新的营销接口调下游风控服务没设超时——风控库抖了一下，接口线程全部挂在那里，Tomcat 200 个线程 10 分钟内耗尽，拖垮了整个应用。更讽刺的是，这个问题在测试环境根本暴露不出来，因为测试环境的下游永远秒回。" 复盘时我们把历次线上事故拉了个清单，发现一个扎心的规律：90% 的上线后事故，根源都不是"不会写"，而是"忘了查"——超时没设、日志级别没改、缓存没过期、幂等没做。这些知识团队里人人都懂，但上线前的匆忙时刻，没人按住每一行代码问一遍。 所以这份清单的定位不是教程，是检查表（Checklist）：每个点只回答三件事——查什么（检查标准）、怎么查（工具/命令）、中招长什么样（事故症状）。发布评审时照着走一遍，10 分钟能拦住绝大多数"低级但致命"的问题。这份清单也是对本系列前面事故复盘文章的收口：幂等对应《消息重复消费排查》《接口幂等 4 种方案》，SQL 对应《PG 性能调优实战》，缓存对应《Redis 大 Key 阻塞》，内存对应《堆外内存暴增排....

引言 "周四凌晨 2:17，主库服务器主板故障宕机，告警准时响了。值班同学打开手机看到'PG 主库不可达'，翻运维手册、找从库、改应用配置、重启连接池——业务恢复时是 3:04，整整 47 分钟。好在是凌晨，只积压了十几分钟的订单，如果是大促高峰，这个数字会是几十万笔。" 复盘会上两个结论：手动切换不可接受，必须让"检测故障 → 选举新主 → 提升从库 → 流量切过去"全程自动化，把 47 分钟压到 30 秒以内；同时排查中发现主库 8000 多个连接、40GB 内存被几百个空闲会话白白吃掉——MySQL 一个连接一条线程尚可硬扛，PG 是一个连接 fork 一个进程，连接数根本开不起太高，必须上连接池。 最终落地的就是生产圈公认的"高可用三件套"：流复制负责把 WAL 日志实时搬到从库，保证主库挂了有库可切；Patroni 负责故障检测、选主和 VIP 漂移，把切换 RTO 从 47 分钟压到 28 秒；pgBouncer 负责把应用的几千个连接收敛成后端几十个真正的 PG 进程，内存从 40GB 降到 6GB。这篇文章按部署一个新集群的真实顺序展开：先把流复制跑通，再权衡同步/异步....

引言 "凌晨 Redis 主节点物理机故障，哨兵把流量切到了从节点，业务几分钟就恢复了——但早上对账发现，故障前 4 分钟内的 1200 笔已支付订单状态全部丢失。" 支付服务把订单状态临时存在 Redis 里做状态机流转，默认配置下只有 RDB、save 60 10000（60 秒内 1 万次写入才触发快照），深夜低峰期写入稀疏，最后一次成功快照停在故障前 4 分钟。更麻烦的是这些状态已经驱动了后续业务，丢了就补不回来。 另一个极端同样常见：有人被这次事故吓到，把所有实例都开成 appendfsync always，结果每条写命令都强制刷盘，单实例写入 QPS 从 5 万掉到 2000，应用线程大量阻塞在 write() 上——为了不丢 1 秒钟的数据，付出了 25 倍吞吐的代价，这显然也不是正确答案。 Redis 持久化的选型之所以争议不断，是因为它从来不是"RDB 还是 AOF"的二选一，而是一连串工程权衡：能接受丢多久的数据、文件多大、恢复多快、fork 子进程对大实例的卡顿有多大、重写期间的双写内存撑不撑得住。这篇文章从持久化的本质讲起，把 RDB 快照、AOF 追加日志、A....

引言 "产品经理上传一个 2GB 的安装包，进度条爬到 92% 时网络闪断，浏览器弹了个'上传失败'——一切从头再来。第三次传到 80% 时，Tomcat 那边先 OOM 了。" 这个事故里其实藏着三层问题：普通 multipart 上传把整个文件吃进服务器内存/临时目录，2GB 文件等于让每个请求都背着一颗内存炸弹；HTTP 是无状态的，传了 92% 断开，服务端对'已经收到多少'毫无记忆，重传只能从零开始；同一个安装包团队里十个人各传一遍，服务器接收了十遍完全相同的 2GB 字节。 对应的三个解法已经是行业标配：分片上传把大文件切成 5MB 小块逐个传，单次请求小、失败只需重传一块；断点续传用 Redis 记录已上传分片，重连后只传缺口；秒传在上传前先拿文件 MD5 问服务端"这个文件是不是已经有了"，有就直接返回成功，一个字节都不用传。这篇文章给出从前端 File.slice 到后端合并落盘的完整实现：前端 TS + Axios 并发池，后端 Spring Boot + Redis 分片状态 + FileChannel 零内存合并，文末再讲生产环境演进到 OSS/S3 原生分片时....

引言 "用户投诉一笔订单被扣了两次钱，流水截图发过来，两笔扣款间隔 17 秒，金额、商户号、支付单号完全一样。" 查到支付系统时，第一眼以为是第三方支付平台重复回调——对方日志里只回调了一次；再往下查 MQ 监控，发现同一条支付成功消息被投递了两遍，消费者也老老实实执行了两遍扣款，账户服务没有任何去重逻辑。 更讽刺的是，重投递的触发点不是故障，而是消费者处理完业务后没有 ACK：RabbitMQ 等不到确认，30 秒后认为消费者"没处理成功"，把消息重新入队又推了一次。第一次扣款其实已经成功，第二次又成功——幂等性缺失让"至少一次投递"（at-least-once）直接变成了"至少扣一次款"。 这篇文章按事故的真实时间线复盘：消息为什么一定会重复（MQ 的投递语义）→ 重复扣款的代码根因 → 三重保障修复（消费端幂等 + 手动 ACK + 死信队列兜底）→ 唯一索引/Redis SETNX/状态机三种幂等方案的对比选型。代码基于 Spring Boot + Spring AMQP（RabbitMQ），关键语义会对照 RocketMQ 和 Kafka。先给结论：在 MQ 的世界里，"消息....

引言 "商家后台的经营看板每天早上 9 点准时雪崩——门店店长们上班第一件事就是打开看板看昨天的销量，接口 P99 直接飙到 10 秒以上，连接池被打满，连带下单接口都跟着超时。" 慢的是一条看似平平无奇的聚合 SQL：5000 万行的订单表，按门店和日期统计商品销量 Top20。开发同事最初的反应是"加个索引吧"，加完从 10 秒变成 800ms，以为收工——结果一周后看板又慢了，而且 EXPLAIN 显示索引建了却没完全用上。后续又陆续做了查询改写、分区裁剪、物化视图预聚合四步，最终稳定在 45ms，前后 200 倍差距。 这个案例最有价值的地方不是某一条神奇 SQL，而是一条完整的优化阶梯：每一步解决一个不同层面的瓶颈，每一步都有 EXPLAIN ANALYZE 的前后对比作为证据，而且每一步都有明确的适用边界——索引解决"扫得太多"、改写解决"索引用不上"、分区解决"表太大"、物化视图解决"重复计算"。这篇文章就按这条阶梯逐级推进，SQL 基于 PostgreSQL 14，数据量 5000 万行真实量级。读完你会掌握一套可复用的优化方法论：先用 EXPLAIN ANALYZE ....

引言 "凌晨 2 点网关告警内存 85%，3 点 92%，4 点容器被 OOMKilled，重启后一切正常，然后 6 小时后再来一遍。" 值班的同事第一反应是堆内存泄漏，jmap、jstat、堆 dump 全做了，发现 Xmx 2G 的堆只用了 800M，Young GC 规律、Old 区平稳，MAT 里 Dominator Tree 翻了三遍没有任何大对象——但容器 RSS 实实在在涨到了 3.7G（limit 4G）。 堆没涨，进程内存涨了——这就是堆外内存泄漏的典型特征。 它比堆内泄漏阴险得多：jmap 看不见、堆 dump 里找不到、OOM 时连 hprof 都不会生成（因为是内核 OOM Killer 直接杀的进程），监控图上只有一条让你绝望的平滑上涨曲线。 这篇文章按那次事故的真实排查路径，走完六个台阶：jmap 看堆 → RSS 对不上账 → NMT 给本地内存分类 → MAT 从 DirectByteBuffer 小对象顺藤摸瓜 → Netty LEAK 检测打出 Created at 堆栈 → jemalloc 做最终归因。元凶是一个 WebSocket 推送 Han....

引言 "渗透测试报告出来了，同一个后台系统三个高危：订单列表的排序参数能拖出整库用户表、订单备注里写一段 <script> 后台运营一查看就中招、攻击者还能借运营的登录态静默发起转账审核。" 三个漏洞的入口各不相同，但修复加起来没超过 200 行代码——因为它们正好对应 Web 安全里最经典的三道防线：SQL 注入、XSS、CSRF。 这三个词几乎每个 Java 开发者都听过，线上的真实情况却是：知道用 #{} 但 order by 场景图省事写成 ${}；XSS 只在前端做了转义，接口用 curl 直接打就穿；CSRF 则更隐蔽——"我们是前后端分离 + JWT，应该不用防吧？" 这句话在不少团队里流传，但只要你的 token 放在 Cookie 里自动携带，CSRF 的门就一直敞着。 这篇文章按"攻击原理 → 漏洞代码 → 正确配置/代码 → 绕过手法"的结构，把三道防线一次讲透：SQL 注入靠 MyBatis 预编译 + 参数白名单（防御位置在数据访问层）；XSS 靠输入校验 + 输出按上下文编码（防御位置在输出渲染层，输入过滤只是兜底）；CSRF 靠 Spring ....

引言 "PG 有条 SQL 特别慢，但我说不清慢在哪。"这个求助背后通常藏着三个没做对的事：不知道哪条 SQL 最该被优化（凭感觉抓一条，可能优化完也省不出 1% 的负载）、不知道它为什么慢（猜是缺索引，加完索引发现没走）、不知道优化后有没有变好（没有前后数据，全靠"感觉快了"）。MySQL 时代大家习惯了 slow log + EXPLAIN 那套流程，但 PG 的参数名、日志格式、EXPLAIN 输出都长着另一副面孔，照搬经验会处处碰壁。 PG 的慢查询定位有一套清晰的漏斗：慢查询日志圈定"慢"的事实 → pg_stat_statements 排序找出"最值得治"的 SQL → EXPLAIN ANALYZE 拆开看它到底慢在哪一步。这三步各解决一个层次的问题，跳过任何一步都容易变成"在错误的 SQL 上使劲"。这篇文章按漏斗顺序走完整个流程，并把重心放在第三步——读懂 PG 的 EXPLAIN 输出：Seq Scan / Index Scan / Bitmap Scan 三种扫描节点的区别与选择逻辑、cost 的真实含义（它不是时间）、以及 rows 估算与实际行数偏差为什么是"....

引言 "一个实例已经下线 20 秒了，消费者还在往它上面发请求，每隔一段时间报一批 connect timeout。" 排查时发现 Nacos 控制台里这个实例先变红（不健康）、过一会儿才彻底消失，而消费端的地址列表更新又比控制台晚了好几秒——三层时间差叠在一起，就是那批超时的全部来源。 要算清这笔时间账，光靠"知道 Nacos 有心跳、有推送"是不够的，必须回答四个源码级问题：服务实例是什么时候、被谁注册上去的？心跳 5 秒一次是谁在发，服务端凭什么 15 秒判不健康、30 秒才摘除？消费者本地的地址列表多久更新一次，UDP 推送和定时拉取到底谁兜底？ 这篇文章以 spring-cloud-alibaba 2.2.x + nacos-client 1.4.x + nacos-naming 1.4.x（HTTP 心跳模式）为准，按一条实例从启动到被发现的真实路径，把 NacosServiceRegistry、NamingProxy、ServiceManager、BeatReactor、HostReactor、PushReceiver 六个核心类串起来。代码均有删减只保留主干，文末会单独....