微服务限流与熔断实战：Sentinel规则配置与降级策略

微服务限流与熔断的适用场景

微服务架构拆出大量服务之后，单个服务的故障会像滚雪球一样通过调用链扩散：A调用B超时，B的线程池被占满，接着C、D全部被打挂。高并发设计里，限流（Rate Limiting）解决的是“流量超过服务容量”的问题，熔断（Circuit Breaking）解决的是“下游故障导致的调用堆积”的问题，两者要配合使用。Sentinel是阿里开源的流量防护组件，比Hystrix的优势是支持细粒度流控（QPS、线程数、并发数）、热点参数限流、系统自适应保护，规则支持动态刷新，实时监控面板完善。

限流算法选型：固定窗口算法实现简单，但窗口边界瞬时流量会翻倍；滑动窗口把时间切片粒度细化，精度提升但内存开销增加；漏桶算法控制恒定速率，适合削峰填谷；令牌桶算法允许突发流量，API网关场景最常用。Sentinel默认用滑动窗口计数器，也提供令牌桶的Wait策略。

Sentinel快速接入与基础限流配置

接入Sentinel只需两步：引入依赖和配置规则。规则可以在代码中定义，也可以通过控制台动态推送（推荐）。先看最小接入：

<!-- 依赖 -->
<dependency>
    <groupId>com.alibaba.csp</groupId>
    <artifactId>sentinel-core</artifactId>
    <version>1.8.8</version>
</dependency>

// 定义资源：兜底入口
public void handleRequest() {
    try (Entry entry = SphU.entry("order-service")) {
        // 业务逻辑
        doBusiness();
    } catch (BlockException ex) {
        // 被限流，返回兜底
        fallbackHandler();
    }
}

规则创建：限制QPS不超过200：

FlowRule rule = new FlowRule();
rule.setResource("order-service");
rule.setGrade(RuleConstant.FLOW_GRADE_QPS);
rule.setCount(200);
rule.setLimitApp("default");
FlowRuleManager.loadRules(Collections.singletonList(rule));

限流QPS上限依据：根据性能压测得出的服务最大承载TPS乘以安全系数（通常0.7-0.8）。压测脚本用JMeter或wrk，压测时记录P99/P95时延和CPU使用率，在CPU 60%-70%时的TPS就是限流基准。

熔断降级配置与流控策略

熔断器三个状态：CLOSED（正常）、OPEN（熔断）、HALF-OPEN（试探）。Sentinel熔断规则支持异常比例、异常数、慢调用比例三种模式。服务调用方设置熔断规则：

DegradeRule rule = new DegradeRule();
rule.setResource("GET:http://payment-api/charge");
rule.setGrade(RuleConstant.DEGRADE_GRADE_RT); // 慢调用比例
rule.setCount(200);      // 响应时间超过200ms
rule.setTimeWindow(30);  // 熔断30s
rule.setMinRequestAmount(5);
rule.setStatIntervalMs(1000);
DegradeRuleManager.loadRules(Collections.singletonList(rule));

参数含义：DEGRADE_GRADE_RATIO表示慢调用比例熔断，当平均响应时间超过count配置的阈值，比例达到minRequestAmount时会触发熔断，熔断持续timeWindow秒。熔断期间调用直接走fallback，不进入实际业务。熔断时间窗口要结合下游恢复周期：下游是数据库故障，需要手动恢复的话熔断窗口可以长一些（60秒-5分钟）；下游是缓存这类快速恢复的，窗口设短一点（30秒以内）。

限流与熔断配合：限流挡住超出容量的流量，熔断拦截故障下游。两者阈值分开设置：限流按服务承载能力设，熔断按下游故障信号设。缺一个都不行：只限流不熔断，下游故障时流量依然堆积；只熔断不限流，突发流量直接打穿保护。

Sentinel控制台与规则动态下发

生产环境规则不能写在代码里重启生效，要用Sentinel控制台动态下发。控制台启动：

# 启动控制台
java -Dserver.port=8858 \
     -Dcsp.sentinel.dashboard.server=localhost:8858 \
     -Dproject.name=sentinel-dashboard \
     -jar sentinel-dashboard.jar

应用接入控制台需要加参数：-Dcsp.sentinel.dashboard.server=localhost:8858，控制台可以看到实时监控（每秒QPS、响应时间、异常数），也能直接编辑规则并推送到客户端。规则推送模式：生产环境用推模式（规则存到Nacos/Consul等配置中心，控制台只做配置，客户端从配置中心拉取），避免重启丢失规则。

# 推模式：规则存Nacos
dataId: order-service-flow-rules
groupId: SENTINEL_GROUP
# 内容格式
[
  {
    "resource": "order-service",
    "grade": 1,
    "count": 2000,
    "controlBehavior": 0
  }
]

流控效果设置：QPS超过阈值时的处理方式，冷启动（0匀速排队）适合应对突发流量，让流量平缓进入；直接拒绝适合低延迟要求接口；预热（WarmUp）让冷启动期间流量平滑上升。

热点参数限流与系统自适应保护

热点参数限流针对单个参数的访问频率做限制：接口有商品ID参数，某些商品被恶意刷，常规限流无法区分，热点参数限流可以精确到某个参数值：

ParamFlowRule prule = new ParamFlowRule("queryGoods")
        .setParamIdx(0)            // 参数下标
        .setCount(100)             // 每秒最多100次
        .setDurationInSec(1);
ParamFlowRuleManager.loadRules(Collections.singletonList(prule));

系统自适应保护基于CPU使用率、系统平均负载、入口QPS等指标，设置阈值，超过阈值就自动触发流控，适用于依赖系统整体资源保护。配合服务治理还能做：服务间超时配置（连接超时、读取超时、重试次数）、线程池隔离、流量灰度发布（新版本先发5%流量验证）。

限流熔断的监控与压测验证

规则上线前必须经过全链路压测验证：先用JMeter模拟峰值流量打到限流阈值，验证兜底逻辑触发正确；再注入下游故障验证熔断降级，观察错误率恢复到阈值以下后自动恢复。监控指标：限流触发次数、熔断打开时长、降级返回数、超时率，通过Prometheus/Grafana实时监控。压测时注意：压测标识与生产流量区分，压测数据不污染生产链路统计。

限流熔断配置属于预防性治理，实际运行时还要配一套故障兜底：降级时返回缓存值、请求排队（异步削峰）、服务降级开关（紧急下线非核心功能）。Sentinel与网关层（如Spring Cloud Gateway、Nginx）的限流维度不同，网关负责入口级限流，Sentinel负责服务级限流，两层叠加才能在高并发下形成完整保护网。