RDB在主从切换时可能引发雪崩，因其快照式持久化导致从节点加载陈旧dump.rdb后缓存击穿，大量请求直击数据库；哨兵不校验快照新鲜度，容器重启或未挂载持久卷更会加剧该问题。
为什么RDB在主从切换时可能引发雪崩
RDB是快照式持久化，两次快照之间所有写入都只存在内存里。一旦主节点宕机、从节点升主，而它加载的是几小时前的dump.rdb，缓存就瞬间“变空”——大量请求穿透到后端数据库，这就是典型的缓存雪崩。这不是理论风险，2025年某电商大促期间就因RDB间隔设为save 60 10000（60秒才触发一次），主从切换后5分钟内MySQL连接数暴涨400%，直接触发熔断。
- 主从同步依赖RDB文件初始化：新从节点首次同步必须靠全量RDB，若该文件陈旧，数据延迟天然存在
- 哨兵自动故障转移不校验AOF/RDB新鲜度：它只看节点存活，不管磁盘上加载的是不是“过期快照”
- 容器或K8s重启时，若未挂载持久卷，
dump.rdb可能被清空或回退到镜像内置的空文件
appendfsync everysec 不是万能解，但always 在高并发下会拖垮TPS
appendfsync决定AOF日志刷盘频率，直接影响数据安全与性能。选everysec（默认）看似平衡，但要注意：Linux内核的定时器抖动、磁盘I/O队列拥塞，可能导致某次fsync延迟超过1秒——这时恰好断电，就丢了不止1秒数据；而选always，每次写命令都fsync()，实测在10K QPS写入场景下，Redis吞吐直接跌到不足2K，因为磁盘成了瓶颈。
- SSD也扛不住
always：NVMe盘单线程fsync延迟仍可能达0.3~1ms，积压后线程阻塞明显 -
everysec的“1秒”是后台线程异步执行，但若该线程卡住（如日志重写+fsync并发），缓冲区堆积会触发client-output-buffer-limit断连 - 真正稳的折中是：
everysec+ 启用aof-use-rdb-preamble yes（混合模式），让AOF重写时先写一段RDB头，恢复速度提升90%，且避免纯AOF回放慢的问题
stop-writes-on-bgsave-error yes 这个默认值，在云环境里反而是隐患
这个配置本意是防止RDB失败后继续写入导致“假成功”，但在K8s或Serverless环境里，fork()失败很常见：内存超限、cgroup限制、/proc/sys/vm/overcommit_memory设置不当都会让BGSAVE静默失败，然后Redis直接拒绝所有写命令——业务立刻报错。而运维往往要等告警才发现，此时已错过黄金修复窗口。
- 云主机常禁用swap，
overcommit_memory=2又没调，10GB Redis实例fork大概率OOM，子进程退出，主进程停写 - 更稳妥的做法是设为
no，同时配合监控项：redis_rdb_last_bgsave_status（Prometheus指标）+redis_aof_last_write_status - 如果真要保数据一致性，不如关RDB、只开AOF，并确保
auto-aof-rewrite-percentage和auto-aof-rewrite-min-size合理（例如100和64mb），避免重写频繁触发OOM
混合持久化不是“开了就行”，RDB+AOF双开时恢复逻辑有优先级
Redis 4.0+支持混合模式，但很多人以为“两个都开=双重保险”。实际是：只要appendonly yes开启，无论RDB是否启用，重启时**只认AOF文件**；只有AOF文件损坏或不存在，才会 fallback 到dump.rdb。这意味着你花精力调优的RDB策略，在AOF正常时根本不起作用。
- 验证方式很简单：停Redis → 改名
appendonly.aof→ 启动，看日志是否出现Reading RDB preamble from AOF file - 混合模式生效前提是
aof-use-rdb-preamble yes，否则AOF重写后仍是纯文本命令，体积大、恢复慢 - 备份策略必须区分对待：RDB适合异地冷备（文件小、校验快），AOF适合本地热备（可截取最后一段修复误删），不能拿同一个脚本一锅端
真正难的不是配对参数，而是理解每个开关背后的数据流路径和故障传播链。比如auto-aof-rewrite-percentage设太高，AOF重写不及时，磁盘爆满；设太低，又可能每小时重写一次，把内存吃光。这些细节没有银弹，只能结合你的QPS曲线、内存水位、磁盘类型一条条试出来。
