关键在于控住线程不卡、超时必断、失败可判：须配专用IO线程池（如ioExecutor），所有supplyAsync必须显式传入；强制orTimeout+exceptionally实现超时熔断与降级；用AtomicBoolean+AtomicInteger自建熔断开关；allOf.join()后逐个join取值并判空防NPE。
Java里用线程池加CompletableFuture搭网关熔断器，关键不是堆功能，而是控住三件事：线程不卡、超时必断、失败可判。
必须配专用IO线程池
网关调用全是HTTP/JSON这类阻塞I/O，绝不能用默认的ForkJoinPool.commonPool()。它共享全局、线程数少（通常CPU核数减1），一个慢接口就能把整个池拖死，连日志打印都排队。
- Spring Boot中建议定义名为ioExecutor的ThreadPoolTaskExecutor，核心线程10–20，最大50，队列容量100，避免无界堆积
- 所有远程调用必须显式传入：CompletableFuture.supplyAsync(() -> api.get(id), ioExecutor)
- 禁止写
supplyAsync(() -> ...)这种裸调用——这是线上雪崩常见起点
每个调用都要带超时+降级
CompletableFuture本身不自动熔断，得靠orTimeout主动中断，再用exceptionally或handle接住异常返回兜底值。
-
orTimeout(800, TimeUnit.MILLISECONDS)会在800ms后让Future失败，抛TimeoutException（注意：它不终止底层HTTP请求，只控制Future状态） - 超时后必须走
exceptionally，否则熔断等于没开；降级逻辑优先用本地构造对象、静态配置或缓存，别再发起新远程调用 - 示例：
supplyAsync(() -> userClient.get(id), ioExecutor).orTimeout(800, MS).exceptionally(t -> fallbackUser())
熔断开关要自己管状态
单纯超时只是单次防护，真要防雪崩，得加一层开关机制，记录连续失败次数并短路后续请求。
立即学习“Java免费学习笔记（深入）”；
- 用
AtomicBoolean circuitBreakerOpen标记是否开启熔断，用AtomicInteger failCount统计失败次数 - 每次调用前先检查开关：
if (circuitBreakerOpen.get()) return completedFuture(fallback) - 在
exceptionally里更新计数，达到阈值（比如3次）就置位开关；恢复可通过定时任务或半开探测实现
聚合阶段要稳拿结果、防空指针
CompletableFuture.allOf只负责等完成，不存结果也不处理异常。它返回void，调用join()才真正暴露问题。
- 先启动所有异步调用，拿到各自的CompletableFuture对象
- 用
allOf(f1, f2, f3).join()统一等待全部结束 - 再分别
f1.join()、f2.join()取值——此时已确定完成，不会阻塞 - 最后检查是否为null：
if (user == null || order == null) return buildPartialResponse(...)，避免NPE
