应用启动时连不上配置中心怎么办？

简化版

启动时连不上配置中心不能一律退出，也不能一律用旧值。普通配置有合法且未过期快照时可降级启动；关键必需项缺失或安全配置过期时，应失败关闭或只开放受限能力。后台使用带抖动的退避重连，恢复后拉取当前版本、校验并原子切换。

启动依次检查内置默认值、本地快照和远端配置。快照必须匹配应用、环境和租户，校验正确且未超过该配置的最大陈旧时间。把配置分为启动必需、可降级、可选和安全关键，并分别定义失败策略。

远端重连要有超时、指数退避和随机抖动，防止大量实例同步冲击服务端。就绪探针表示业务能否安全接流量，不能与进程存活混为一谈。恢复后主动拉取当前完整版本，不能依赖断线期间可能丢失的通知。

应用可先启动管理端口和重连线程，但关键配置缺失时 readiness 应失败。 liveness 只判断进程是否需要重启。把远端故障绑定 liveness 会造成反复重启和更严重的连接风暴。

启动容错的目标是安全提供可证明的能力，不是不惜代价让进程变绿。

同一应用可同时采用多种策略，不能靠一个全局 failFast 参数决定全部行为。

快照包含应用、环境、租户、版本、发布时间、摘要和内容。启动时逐项验证，失败就不能使用。

usable = identity_matches
      && checksum_valid
      && schema_valid
      && age <= max_staleness

普通配置允许陈旧 24 小时，不代表吊销列表也能陈旧 24 小时。

退避可按 1、2、4、8、16 秒增长并封顶 30 秒，同时加入随机抖动。 1000 个实例若固定每 5 秒重试，会同步产生 200 QPS。抖动摊平尖峰，但客户端仍需持续重试。 DNS、证书、鉴权与网络超时要使用不同错误码，便于定位永久性错误。

若推荐配置不可用，可以关闭推荐但保留下单。若路由或权限状态不可信，可只开放健康检查和运维入口。

startupMode: degraded
disabledCapabilities: [recommendation]
configSource: local-snapshot
snapshotVersion: 208

禁止用空字符串补必填项；静默默认值可能把流量发到错误环境。

重连后主动拉当前期望版本，而不是等待下一条通知。断线期间通知可能丢失，当前状态才是收敛依据。新配置经解析和业务校验后构造不可变对象，再原子替换。连接池等资源应先创建新实例，成功后切流并排空旧资源。完成后上报实际版本并重新计算 readiness。

监控配置来源、快照年龄、远端状态、重试次数、降级持续时间、就绪状态和实际版本。重点告警长时间降级以及安全配置接近过期。演练覆盖无快照、损坏、过期、超时、鉴权失败和恢复后解析失败。还要确认应用不会因探针错误陷入重启循环。