降级是service层显式决策的业务行为，必须封装判断逻辑、严格约束边界：仅读本地LRU或纯内存构造，返回类型与主逻辑一致，用errors.Is判超时/取消，协同熔断器、开关、缓存三重信号，禁用副作用与外部依赖。
降级不是框架自动触发的兜底动作，而是必须由 service 层显式判断错误语义、主动跳转、严格约束行为边界的业务决策。
service 层必须封装降级判断逻辑
handler 层只做参数校验和响应返回，所有降级决策（是否降级、降什么）必须收口到 service 方法里。否则会把熔断、超时、开关判断散落在多个 handler 中，无法统一控制，也难以测试。
- service 方法签名必须接收
ctx context.Context，并在每次下游调用后立刻检查err - 禁止在 handler 里写两套调用逻辑（主服务 + 备用服务），备用逻辑一旦要加重试、缓存或限流，立刻失控
- 降级分支只能读本地 LRU 缓存（如
github.com/hashicorp/golang-lru）或调用纯内存构造函数（如DefaultUser()），严禁发新 HTTP 请求、查 DB 或起 goroutine - 降级返回值类型必须与主逻辑完全一致，比如
func GetUser(ctx context.Context, id int64) (*User, error)的降级也得返回(*User, error)，不能返回map[string]interface{}或字符串
用 errors.Is 判断超时与取消，别信 err.Error()
仅靠 err == context.DeadlineExceeded 或字符串匹配（如 strings.Contains(err.Error(), "timeout")）不可靠——gRPC、HTTP/2、数据库驱动返回的错误文本不一致，且 context.Canceled 被忽略会导致上游主动中断时直接 500。
- 唯一健壮判断是：
errors.Is(err, context.DeadlineExceeded) || errors.Is(err, context.Canceled) - gRPC 场景下，
status.FromError(err).Code()可能是codes.DeadlineExceeded，但底层仍是 context 错误，仍需走errors.Is - HTTP 客户端错误中，“dial tcp: i/o timeout”可降级，“404 Not Found”或
sql.ErrNoRows是正常业务态，不应进降级分支
熔断器 + 人工开关 + 本地缓存三重信号协同
服务发现失败、网络分区、灰度下线这些场景，单靠熔断器统计失败次数反应太慢；纯靠配置中心开关又缺乏实时性。必须组合三者，按优先级联动。
Golang Uber Dig
下载
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
立即学习“go语言免费学习笔记（深入）”；
- 实现统一判断函数：
NeedFallback(serviceName string) bool - 内部优先级：配置中心
config.GetBool("downgrade." + serviceName)为 true → 直接返回 true；否则查breaker.State() == gobreaker.StateOpen→ 返回 true；否则返回 false -
gobreaker.Settings.Timeout单位是毫秒，填500是 500ms，不是 5 秒——填错会导致请求在熔断器里直接超时退出，根本没机会执行降级函数 - 本地 LRU 缓存降级数据时，key 应含业务维度（如用户 ID），避免不同用户共享同一份默认值；缓存重建失败时，用
singleflight.Group防雪崩，但只在err == nil时才写入缓存
降级函数必须是纯函数，且禁用全局状态
降级不是“容错兜底”，而是“主动切换路径”。它的行为比主流程更严格：无副作用、零延迟、类型匹配、不依赖任何外部状态。
- 禁止在降级里调用
time.Now()、rand.Intn()、写日志（告警应在主流程失败后统一处理）、访问全局变量 - 避免返回零值结构体：
&User{}序列化后是{"name":"","age":0}，前端易误判；改用DefaultUser()显式赋值 - 每次新建默认实例开销极小，别用全局变量存默认值——并发修改风险高
- fallback 函数签名必须严格匹配主逻辑（例如都返回
(*User, error)），且内部不能发新请求、不 panic、不重试
最容易被忽略的是：服务发现客户端（如 etcdwatcher）返回空列表或超时错误时，框架不会自动触发降级；它只负责抛出 err。你必须在 service 层显式捕获这个 err，并根据语义决定是否走 getDefaultUser() 这类纯内存路径——否则，整个降级链条就断在第一环。
