线程池饱和是业务流量与资源失衡的硬开关信号，需结合活跃线程持续满载、排队超500ms、P99延迟突增等运行态指标识别，并驱动网关限流、接口熔断、客户端降速及CallerRunsPolicy业务降级，实现可观测闭环优化。
线程池饱和是系统过载的明确信号，不是单纯调参问题，而是业务流量与资源能力失衡的体现。它该成为触发限流与降级的“硬开关”，而不是等异常堆满日志才反应。
识别真实饱和：别只看队列满和线程数
饱和判定不能只依赖 maximumPoolSize 已达 + workQueue 已满 这两个静态条件。实战中要结合运行态指标交叉验证：
- 持续 30 秒以上
getActiveCount() == maximumPoolSize，且新任务提交频率未明显下降 - 任务平均排队时长（可从
workQueue.size()与提交速率估算）超过 500ms - 同一时间点，核心接口 P99 延迟突增 3 倍以上，而非核心接口错误率（503/429）同步飙升
- JVM 线程数稳定高位，但 GC 次数、内存使用率无显著变化——排除内存瓶颈，确认是纯调度阻塞
用饱和信号驱动分层限流：从入口到线程池
线程池饱和说明下游已失守，此时限流必须前移到更上游，避免雪球越滚越大：
- API 网关层限流：一旦监控发现某服务线程池连续 2 分钟处于饱和状态，自动对该服务所有入口路径启用令牌桶限流（如 QPS 降至当前均值的 60%），优先保核心路径
-
接口级动态熔断：对触发拒绝策略的任务类型做标签化（如加注解
@TaskType("cache-warmup")），当某类任务拒绝率 > 10%，自动关闭该功能开关，释放线程池资源 -
客户端降速反馈：在 HTTP 响应头中返回
X-RateLimit-Reset: 60和X-Overload: true，引导前端或 SDK 主动退避重试
基于拒绝策略做业务级降级：让 CallerRunsPolicy 真正“干活”
默认的 AbortPolicy 只抛异常，等于把压力甩给调用方；而 CallerRunsPolicy 是唯一能将“拒绝”转化为“可控延迟”的策略，关键在于让它执行有意义的降级逻辑：
- 不直接执行原业务逻辑，而是执行轻量兜底动作：比如支付任务被拒绝时，由调用线程写入本地延迟队列（如
ConcurrentLinkedQueue），稍后异步重试；日志任务被拒绝时，转为同步打到本地文件，避免丢数据 - 在自定义
RejectedExecutionHandler中注入业务上下文：识别当前任务所属用户等级、订单金额、请求来源（APP / H5 / 后台），高优请求走备用线程池，低优请求直接静默丢弃或返回缓存结果 - 配合
DiscardOldestPolicy用于实时性敏感场景：例如消息推送任务，新消息永远比旧消息重要，丢弃队首任务后立即重试提交，保障最新状态触达
可观测闭环：让每次饱和都变成一次优化机会
每次触发拒绝策略，都要留下可追溯、可归因的数据，否则下次还会重蹈覆辙：
- 记录被拒绝任务的完整链路 ID、来源接口、任务类型、提交时间、队列堆积数、当时活跃线程数
- 区分是“恶意刷量”还是“正常高峰”：通过关联用户设备指纹、IP 地址段、请求参数特征（如商品 ID 是否集中）做初步聚类
- 设置自动告警规则：单个线程池 5 分钟内拒绝次数 > 100 次，且非核心任务占比超 80%，则触发“非核心功能降级”工单，通知对应业务方确认是否临时下线
