全链路容灾降级需覆盖配置加载、服务调用、数据备份、健康校验四环节，且每环节须满足“能验证、可回退、不丢状态”三原则，否则易引发数据不一致、接口空返回等更严重故障。
Go 模块里做全链路容灾降级，不是加个库就能自动生效——它必须覆盖配置加载、服务调用、数据备份、健康校验四个关键环节，且每个环节都要满足“能验证、可回退、不丢状态”三原则。否则切到备用链路后发现数据不一致、接口返回空、配置还是旧的，反而比挂更糟。
配置中心失效时如何立刻 fallback 而不卡启动
常见错误是 viper.WatchConfig() 在 K8s 里根本监听不到 ConfigMap 更新，或者 etcd 客户端 WithTimeout=5s 导致所有实例同步卡住重启。
- 启动阶段必须用 goroutine 异步拉远程配置，失败立即读
config.yaml.local（预置在二进制同目录），不阻塞main() - 本地文件必须校验
sha256.Sum256，不能只看os.FileInfo.ModTime()—— NFS 和镜像层会污染时间戳 - 配置更新要用
atomic.Value存完整 struct 指针，别用sync.Map分散字段，否则并发读写时部分字段还是旧值 - 轮询检测配置变更时，间隔设为
3s–10s，每次读到新内容后调用viper.ReadConfig(bytes.NewReader(data))，不是Unmarshal
gRPC 客户端 region 感知与带健康校验的 fallback
简单改 DNS 或 reload nginx 无法满足秒级切换+可验证要求，客户端必须自己决策是否切流。
- 服务注册时打标
region=sh、zone=sh-b，客户端调用前查consul.Health().Service("order-svc", "region=sh", true, &q) - 禁用
grpc.WithBlock()，改用grpc.FailOnNonTempDialError(true)+ 显式 dial timeout，防某 region 网络不通时卡死 - fallback 到
region=bj前，先 GET/health?region=bj，响应含{"region":"bj","upstream":{"sh":false,"hz":true}}才切 - 限制 fallback retry=1 且 timeout=3s，避免雪崩；不允许多跳 fallback（比如 sh→bj→hz）
HTTP 接口降级必须按错误类型分流，不能一概 fallback
Go 没有 @HystrixCommand 这种自动降级注解，所有 fallback 都得手动写分支，且错误分类不对会掩盖真实问题。
Golang Uber Dig
下载
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
立即学习“go语言免费学习笔记（深入）”；
- 主调用必须绑定
context.WithTimeout(ctx, 800*time.Millisecond)，超时 err 是context.DeadlineExceeded→ 可降级 - HTTP 状态码只对
500、502、503、504和连接异常（如net.ErrClosed）走 fallback，400、401必须透出 - fallback 逻辑不能依赖任何外部服务，优先返回
sync.Map里的兜底值或本地配置项，禁止调用同一服务的另一个 endpoint - 降级开关要从配置中心动态读取，每触发一次打日志 +
metrics.Counter("user_service_fallback_total").Inc()
备份任务独立 goroutine 执行并生成校验码
异地容灾依赖备份可用，但一个没控制好的 os.Open 就可能拖垮整个服务。
- 备份必须在独立 goroutine 中执行，用
context.WithTimeout(ctx, 30*time.Second)控制单次上限，超时即中断并记录 error - 打开文件后立刻
defer f.Close()；数据库备份前先db.PingContext()，失败直接 return，不重试 - 小数据用
md5.Sum，关键业务用sha256.Sum256，校验码和备份文件一起上传到异地对象存储 - 备份完成后暴露
/backup/status接口，返回最近一次成功时间、校验码、region 标签，供人工验证
全链路容灾降级最难的不是代码怎么写，而是每个 fallback 路径都得有人工验证入口、状态可回退、数据不丢失——比如切到北京 region 后，订单状态不能因为时钟漂移或缓存未同步而错乱。这些细节不提前对齐，切流那一刻就是故障爆发点。
