缓存穿透的根本原因是未命中缓存且数据库也无数据时，业务未缓存空值，导致相同无效key反复查库；典型表现为Redis命中率低、数据库慢查询激增，解决方案是缓存空字符串并设2~5分钟短过期，辅以前置参数校验和布隆过滤器。
缓存穿透：查不到的 key 为什么反复打数据库
根本原因是：Redis 里没这个 key，MySQL 里也没有，但业务逻辑没把“空结果”写进缓存，导致每次相同请求都走一遍“查缓存 → 查库 → 返回 null”的完整链路。
典型表现是监控里看到 Redis 命中率正常（因为压根没命中），但数据库慢查询突增，且日志里大量出现类似 SELECT * FROM user WHERE id = -1 或 id = 999999999 这种明显不存在的参数。
- 最简单有效的做法是缓存空值：
stringRedisTemplate.opsForValue().set(key, "", 2, TimeUnit.MINUTES)，用空字符串标记“该数据不存在”，并设短过期（2~5 分钟） - 别直接存
null，RedisTemplate对null的序列化行为不一致，容易导致后续get()返回null但无法区分是“缓存未命中”还是“缓存了空值” - 如果 key 构造有规律（比如全是数字 ID），可以加一层前置校验：用
Long.parseLong()拦掉负数、超长字符串等非法输入，从入口就过滤掉一部分穿透流量 - 注意内存成本：空值太多会挤占内存，高并发下建议配合布隆过滤器（
BloomFilter）做粗筛，但布隆过滤器要和数据库主键同步更新，维护成本略高
缓存击穿：热点 key 过期那一秒发生了什么
不是所有 key 过期都会引发击穿，只有那些 QPS 很高（比如 >1000）、且被大量并发请求同时访问的 key 才危险。一旦它在某一毫秒过期，所有请求瞬间落到数据库，连接池很容易被打满。
关键点在于：击穿是“单点 + 高并发 + 刚好过期”的组合问题，和穿透的“全量无效请求”完全不同。
- 别只依赖固定过期时间，对热点 key 使用“逻辑过期”：缓存 value 里额外存一个
expireTime字段，应用层自己判断是否过期，而不是靠 Redis 的EXPIRE指令 - 加互斥锁控制重建：当发现 key 逻辑过期时，用
SET key value NX EX 30尝试抢锁，抢到的线程去查库并回写缓存，没抢到的线程先Thread.sleep(20)再重试一次 - 避免锁粒度太粗：不要用全局锁（比如
lock:shop），而是按业务维度拆，比如lock:shop:123，否则会把不同商品的请求也串行化 -
StringRedisTemplate默认不支持原子性 SET+EX，必须用execute()调用原生命令，或升级到 Spring Data Redis 3.x 后使用opsForValue().set(key, value, timeout, timeUnit, RedisStringCommands.SetOption.UPSERT)
String 类型缓存的两个隐藏坑
很多人以为用了 StringRedisTemplate 就万事大吉，其实它在穿透和击穿场景下有几个容易被忽略的细节：
- 默认序列化器对空字符串和
null的处理不统一：用StringRedisSerializer存""没问题，但存null会抛SerializationException，所以空值必须显式用""或自定义标记对象 - key 命名不规范会导致误判：比如把
"user:" + id和"user:id:" + id混用，同一个业务数据可能被当成两个 key，空值缓存就失效了 - 过期时间单位容易写错：
set(key, value, 30, TimeUnit.SECONDS)和set(key, value, 30, TimeUnit.MINUTES)差 60 倍，空值缓存太久会浪费内存，太短又起不到防护作用 - 没有降级兜底：当 Redis 不可用时，整个缓存逻辑崩溃，应该加一层本地缓存（如
Caffeine）或开关配置，让服务能自动 fallback 到直连数据库
怎么验证你真解决了穿透和击穿
光看代码逻辑不够，得从监控和日志里确认效果：
- 查 Redis 的
INFO commandstats，重点关注cmdstat_get和cmdstat_set的调用量比，穿透缓解后，set次数应明显上升（因为空值也在写） - 在数据库慢查询日志里搜
WHERE id = ?后面跟的参数，如果大量重复出现同一非法 ID（如-1、0），说明空值缓存没生效 - 模拟击穿：用
jmeter对一个已存在的热点 key 发起 1000 并发请求，然后手动DEL它，观察数据库 QPS 是否出现尖峰；如果没有，说明逻辑过期或锁机制起了作用 - 别忘了清理残留：上线空值缓存后，老的未命中逻辑可能还在跑，要确保所有相关接口都走同一套缓存封装，否则部分请求仍会穿透
