Semaphore 不能直接用于动态窗口限流，因其仅控制瞬时并发数，不统计时间窗口内请求数；强行模拟需自行实现滑动窗口、定时清理等逻辑，易出竞态且重复造轮子。
为什么不能直接用 Semaphore 做动态窗口限流
因为 Semaphore 本质是**并发数控制（concurrent count）**，不是时间窗口计数器。它不记录“过去 1 秒内来了多少请求”，只管“此刻有没有空闲许可”。哪怕你每秒发 1000 个请求，只要同时最多只有 3 个在跑，Semaphore 就认为 OK——这和 RPM/TPM 类限流完全不是一回事。
强行拿 Semaphore 模拟时间窗口，得自己维护滑动时间桶、定时清理、线程安全更新计数，等于重复造 RateLimiter 的轮子，还容易出竞态。
- 常见错误现象：
Semaphore(5)配置后压测发现 QPS 稳定在 200+，但下游报 429；实际是请求平均耗时 25ms，5 个并发 ≈ 200 QPS，根本没控住“单位时间总量” - 适用场景仅限：下游接口响应慢（>500ms）、你明确要保护的是其**瞬时并发承受力**（比如老系统单机扛不住 10+ 并发），而非防刷或配额管理
- 公平模式（
fair=true）会显著拖慢获取许可速度，实测在 100 并发下平均延迟高 3–5 倍，非必要别开
tryAcquire(long timeout, TimeUnit) 是唯一可用的保命参数
不用带超时的 tryAcquire，等于把服务命脉交给下游响应时间。一旦对方卡住或你漏调 release()，Semaphore 许可就永久泄漏，后续所有请求无限等待——监控里看不到错误码，只看到线程池满、HTTP 超时飙升。
- 必须写成：
if (!sem.tryAcquire(200, TimeUnit.MILLISECONDS)) { throw new RuntimeException("Upstream rejected"); } -
acquire()和无参tryAcquire()一律禁用，前者死等，后者立即失败但无法区分是真满还是刚启动没许可 - 超时值建议设为下游 P95 响应时间的 1.5 倍，太短误拒，太长放大雪崩风险
如何让静态 Semaphore “看起来”能自适应
真正的自适应得靠外部信号驱动重置，Semaphore 本身不支持运行时改许可数。可行路径只有一条：用原子变量 + 定时任务动态重建实例。
- 用
AtomicInteger currentPermits存当前允许并发数，初始值从配置中心拉取（如 Apollo/Nacos） - 起一个
ScheduledExecutorService，每 30 秒检查下游健康度（例如最近 1 分钟 5xx 率 > 5% 则currentPermits.set(Math.max(1, currentPermits.get() / 2))） - 每次获取许可前，先比对当前
sem实例的许可数是否匹配currentPermits，不匹配就用新值创建Semaphore并替换旧引用（注意用AtomicReference<semaphore></semaphore>） - 关键点：旧
Semaphore实例不再有新 acquire，但正在运行的请求仍用原实例 release，不会丢许可
比 Semaphore 更适合动态窗口的替代方案
如果你的真实需求是“根据下游反馈自动调 RPM”，直接换组件更稳：
-
Guava RateLimiter支持运行时调setRate(double)，但它是单机内存型，集群需配合 Redis + Lua 做分布式窗口 -
Resilience4j Bulkhead的ThreadPoolBulkhead可动态 setMaxThreadPoolSize，但仍是并发控制，不是时间窗口 - 真正推荐：
Redisson RRateLimiter，底层用 Redis + Lua 实现滑动窗口，支持集群、支持trySetRate()动态调整，且失败返回明确的false而非阻塞 - 最容易被忽略的一点：任何动态调节都必须配熔断降级兜底。比如连续 3 次调节后仍触发限流，就该切到 fallback 接口或返回缓存，而不是继续狂调下游
