降级开关必须从配置中心动态读取，不可硬编码；需结合熔断器状态协同判断，fallback路径须纯内存、零延迟、无外部依赖，并配套完备的日志与指标观测。
降级开关必须从配置中心读取，不能硬编码
硬编码降级开关等于没开关——重启才能生效，线上突发故障时完全无法响应。生产环境所有降级相关参数（是否启用、超时阈值、fallback 返回内容模板）都得走配置中心动态加载。
- etcd / Consul / Nacos 都可选，优先用 etcd：轻量、强一致性、Go 原生 client 支持好（
go.etcd.io/etcd/client/v3） - 路径设计要有层级和语义，比如
/degrade/user-service/enable、/degrade/order-service/timeout-ms，避免扁平 key 列表 - 必须加 watch 机制：用
client.Watch监听变更，而不是轮询；变更后立即刷新内存缓存，不等下次调用才生效 - 首次加载失败不能 panic 或阻塞启动——要 fallback 到安全默认值（如
enable = false），并打 error 日志
NeedFallback 函数必须同时查熔断器状态 + 配置开关
只看配置开关会错过自动熔断场景；只看熔断器又覆盖不了“下游主动维护”这类人工预期降级。两者必须协同，且人工开关优先级更高。
- 写一个统一判断函数：
func NeedFallback(service string) bool - 内部先查配置：
config.GetBool("degrade." + service + ".enable")，true 就直接返回 true - 否则查熔断器：
breaker.State() == gobreaker.StateOpen，满足则返回 true - 注意：不要在该函数里做耗时操作（如远程调用、DB 查询），它会在每次请求路径中被高频调用
fallback 函数里禁止读配置中心或远程服务
降级路径是最后防线，任何外部依赖都会把雪崩风险从 A 传导到 B。fallback 必须是纯内存、无副作用、零延迟的执行路径。
Golang Uber Dig
下载
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
- 静态兜底数据应提前初始化：比如
var defaultUser = &User{Name: "游客", Level: 0}，放在init()或包变量里 - 若需缓存数据，只能用本地内存缓存（
sync.Map或bigcache），且数据必须在服务启动时预热完成，降级时只读不写、不触发加载 - 绝对禁止在 fallback 里调
http.Get、redis.Client.Get、grpc.Invoke，哪怕加了超时也不行——这已不是降级，是故障接力 - 配置中心客户端本身也要有 fallback：比如 etcd 连不上时，用内存里上一次成功拉取的值，而不是报错退出
降级日志和指标必须带 service 和 mode 标签
没有维度的降级日志等于没日志。你得一眼看出是哪个服务、哪种降级模式（cache / default / empty）、在什么时段高频触发。
立即学习“go语言免费学习笔记（深入）”；
- 日志字段至少含：
service=user-service、mode=cache、reason=config-enabled或reason=circuit-open - 打点指标命名要一致：
metrics.Counter("degrade_total").With("service", "user").With("mode", "default").Inc() - HTTP 管理接口（如
POST /admin/degrade/enable）必须校验权限，并记录操作人、时间、变更前/后值 - 别只打“降级触发”，要打“降级返回了什么”——比如
log.Info("fallback user", "id", id, "name", defaultUser.Name)，方便前端对齐数据
