gorm.Open后必须立即db.Session(&gorm.Session{}).Ping()验证连通性，否则首次查询才暴露DNS解析失败、认证错误等；连接池参数须配对设置SetMaxOpenConns/SetMaxIdleConns/SetConnMaxLifetime，且仅对驱动级连接错误（如MySQL 2002/2013、PostgreSQL "08"码）重试。
gorm.Open 之后必须立刻 Ping()，否则首次查询才暴露连接失败
很多人以为 gorm.Open() 就建立了真实连接，其实它只是初始化连接池结构，不拨号、不校验凭证、不解析 DNS。真正第一次调用 db.First() 或 db.Exec() 时才会尝试建连 —— 这时候才可能报 dial tcp: lookup xxx: no such host、access denied 或超时。首请求失败直接导致接口白屏或 500，根本没机会重试。
正确做法是在 gorm.Open() 后立即调用 db.Session(&gorm.Session{}).Ping()（GORM v2 已弃用 db.Ping()）：
db, err := gorm.Open(mysql.Open(dsn), &gorm.Config{})
if err != nil {
log.Fatal(err)
}
// 必须加这句
if err := db.Session(&gorm.Session{}).Ping(); err != nil {
log.Fatal("DB ping failed at startup:", err)
}
别指望靠“启动后自动重试”掩盖这个问题 —— 这是初始化阶段的硬性校验，漏掉等于把雷埋在服务启动路径里。
连接池参数不配对，重试会失效甚至加剧故障
只设 SetMaxOpenConns 而不设 SetConnMaxLifetime，空闲连接会在云环境 NAT 或防火墙下静默断开，下次复用时报 read: connection reset by peer；这时即使你写了重试逻辑，也会反复失败 —— 因为连接池还在不断把已断开的连接塞给业务代码。
必须配对设置：
-
sqlDB.SetMaxOpenConns(120)：按 MySQL 的max_connections× 0.6～0.8 设（查法：SHOW VARIABLES LIKE 'max_connections';） -
sqlDB.SetMaxIdleConns(60)：设为MaxOpenConns的 1/2～2/3 -
sqlDB.SetConnMaxLifetime(3 * time.Minute)：云数据库推荐 2～5 分钟，避免长连接僵死
注意：SetConnMaxLifetime 设成 0 或 time.Hour 是常见坑，会导致 DB 侧积压 idle in transaction，锁资源、占内存、触发上下文切换风暴。
重试不是对所有 error 都生效，得精准识别连接类错误
GORM 的 result.Error 是封装后的抽象错误，gorm.ErrRecordNotFound、mysql.MySQLError、驱动底层错误全混在一起。直接判断 err != nil 就重试，会把主键冲突、SQL 语法错、事务已中止（SQLSTATE 25P02）全当成连接问题，徒增延迟和 DB 压力。
必须穿透封装，做类型断言并检查协议级错误码：
- MySQL：
if mysqlErr, ok := err.(*mysql.MySQLError); ok && (mysqlErr.Number == 1040 || mysqlErr.Number == 2002 || mysqlErr.Number == 2013) - PostgreSQL：
if pqErr, ok := err.(*pq.Error); ok && pqErr.Code[0:2] == "08"（"08" 前缀代表连接类异常） - 通用兜底：
errors.Is(err, driver.ErrBadConn) || errors.Is(err, context.DeadlineExceeded)
只有这些才值得重试；其余如 ErrConstraintFailed、ErrInvalidSQL 立即返回，别浪费资源。
业务层重试要带退避，且不能绕过事务 Rollback
事务内连接中断（比如 tx.Commit().Error 报 driver.ErrBadConn），不能简单地再跑一遍 operation(tx) —— 此时事务状态已损坏，不 tx.Rollback() 就重试，后续 Begin() 可能卡住或复用脏连接。
一个安全的重试封装需满足：
- 每次重试前显式调用
tx.Rollback() - 用指数退避控制节奏（如 100ms → 200ms → 400ms）
- 限制最大重试次数（1～2 次足够，再多大概率是真故障）
- 用
context.WithTimeout控制整体生命周期，防雪崩
最易被忽略的一点：重试逻辑必须放在业务函数内部，而不是全局拦截器里 —— 因为只有业务才知道哪些操作幂等、哪些必须一次成功。
