Java多租户系统因租户上下文泄漏导致元空间/堆持续膨胀，触发Linux OOM Killer强制终止JVM；根本原因是TenantContext、URLClassLoader等未释放，需通过dmesg、jmap、jstat定位泄漏点，并用TransmittableThreadLocal、类加载器生命周期管理等加固。
Java多租户系统因上下文隔离失效导致JVM被内核Kill，本质是内存持续泄漏→元空间/堆膨胀→触发OOM Killer。这不是单纯的JVM参数问题，而是租户上下文失控引发的资源雪崩：一个租户的类加载泄漏或ThreadLocal残留，会拖垮整个JVM进程，最终被Linux内核强制终止。
先确认是不是上下文泄漏引发的OOM
别急着调-Xmx或-XX:MaxMetaspaceSize。先验证根本原因：
- 执行dmesg -T | grep -i "killed process" | grep java，看日志中是否出现anon-rss接近物理内存总量（如服务器16G，日志显示anon-rss=15.2G），这是OOM Killer出手的铁证
- 用jmap -histo:live <pid> | head -20查实例TOP榜，重点盯：TenantContext、URLClassLoader、MyBatis MapperProxy、Spring BeanDefinition——若数量随时间线性增长且远超活跃租户数，基本锁定泄漏
- 对比jstat -gc <pid>输出：如果MC（Metaspace Capacity）持续上涨、MU（Metaspace Used）不降，且Full GC后仍无回收，说明类加载器未卸载
聚焦三类上下文泄漏高危点
租户隔离失效不是随机发生，集中在以下三个可验证环节：
- 自定义类加载器未释放：检查是否为每个租户创建了独立URLClassLoader，但未在租户停用时调用close()；更危险的是该加载器被静态Map、缓存、线程局部变量强引用，导致整个租户的类元数据永久驻留Metaspace
- ThreadLocal未清理+线程池复用：Tomcat默认200线程池，若拦截器中TenantContext.set(tenantId)后未在finally里remove()，一个残留的tenantId就可能污染后续100个请求；jstack看http-nio-8080-exec-*线程的ThreadLocalMap，常能直接看到过期租户ID字符串
- 异步任务透传断裂：@Async方法、CompletableFuture、消息监听器中直接调用TenantContextHolder.get()，返回null或旧值——此时业务逻辑可能误写入默认租户或空租户表，同时因状态错乱反复重试，加剧内存与数据库压力
快速验证与止血操作
无需重启，先做三件事定位并缓解：
立即学习“Java免费学习笔记（深入）”；
- 加JVM参数-XX:+TraceClassLoading -XX:+TraceClassUnloading，观察日志中是否有同一类（如com.tenantX.service.ReportService）被多个ClassLoader重复加载且unloading极少
- 在关键拦截器入口插入诊断日志：log.info("CL:{} | TL:{} | Thread:{}", getClass().getClassLoader(), TenantContext.get(), Thread.currentThread().getName());，确认不同租户请求是否落到同一个ClassLoader和ThreadLocal实例
- 临时禁用热部署工具（Spring DevTools、JRebel）、关闭动态字节码生成（如Lombok Builder、MyBatis Plus自动SQL），排除开发期引入的类加载污染
生产环境必须落地的加固项
避免下次再被Kill，以下四条需代码/配置层强制落实：
- 所有租户上下文存储改用TransmittableThreadLocal，且所有线程池创建点统一包装为TtlExecutors.getTtlExecutorService(executor)
- 租户级类加载器必须带生命周期管理：租户状态变更为DISABLED时，同步调用tenantClassLoader.close()，并从全局注册表中移除引用
- Redis/Caffeine缓存key强制拼接tenantId + ":" + businessKey，禁止任何全局共享缓存value；对连接池、数据源路由表等运行时结构，增加tenantId作为一级索引
- JVM启动参数必须显式限制：-XX:MaxMetaspaceSize=512m -Xmx4g -XX:+UseG1GC -XX:MaxGCPauseMillis=200，防止单点失控拖垮整机
