服务治理中的灰度路由如何实现？

简化版

灰度路由先用稳定业务标识计算灰度分桶，再把版本/泳道标签沿调用链传递，只从匹配标签且健康的实例集合中负载均衡。实现必须处理无标识请求、标签防伪、跨服务丢标、候选集为空、比例调整稳定性和一键回滚。

详细版

入口对 userId、experimentId 和固定盐做无歧义的规范编码后哈希，再用 hash(encodedKey) % 10000 < threshold 判定人群；命中后写入受信任的 lane=v2 上下文。网关、RPC 和 MQ 传播该标签，服务发现先按环境、地域、版本、健康状态过滤，再在候选集内负载均衡。

稳定哈希保证同一用户持续命中，阈值从 100 增到 500 时只新增约 4% 人群。若 v2 无健康实例，按业务预设回 v1 或快速失败，不能随机跨环境。指标必须按 lane/version 拆分成功率、P99、业务转化和实例容量。

完整版教学

一、灰度路由要保证人群稳定

逐请求随机 5% 会让同一用户本次进 v2、下一次回 v1，缓存、会话和业务状态因此交叉。稳定分桶把一个 key 固定映射到桶，新版本体验才可复现。key 通常选 userId、tenantId 或 deviceId，并明确匿名流量策略。

记忆钩子：先稳定选“谁”，再准确找到“哪组实例”，最后保证整条链都不串线。

二、万分桶便于平滑扩量

bucket = hash(canonicalEncode(subjectId, experimentId, fixedSalt)) mod 10000
gray = bucket < 500   // 5%

使用 10000 桶可表达 0.01% 精度。experimentId 进入哈希能让不同实验的人群独立；哈希算法和盐必须固定，否则升级客户端会让全部用户重新分桶。阈值 100→500 时，原 1% 用户仍在灰度，只新增 4%。

三、流量标签怎样穿过调用链

网关根据认证后的身份生成 lane 标签，写入内部 header 或 RPC context；下游不可信任公网用户直接提交的同名 header。同步 RPC 拦截器负责透传，异步消息则把 lane 放入受版本控制的消息属性。线程池、协程切换处还要验证上下文不会丢失或串请求。

Client -> Gateway[计算 lane=v2] -> Service A[v2]
                                  -> Service B[v2]
                                  -> MQ{lane:v2} -> Consumer[v2]

四、实例筛选顺序与空集策略

服务发现通常依次过滤环境、地域、健康、lane/version，再在结果内做权重负载均衡。先负载均衡后判断版本会产生偏斜。候选集为空时，读接口可按配置回落稳定版，有状态写或不兼容协议则应快速失败。

场景	推荐空集行为	原因
无状态查询	可回落 v1	通常无状态冲突
新 Schema 写入	快速失败	v1 可能无法理解
独立测试环境	禁止跨环境回落	防数据污染

五、容量与比例不能只看百分比

总流量 20000 QPS，5% 灰度约 1000 QPS。若 v2 只有 2 个实例，每个稳定容量 350 QPS，实际需要 1000 QPS 已超过 700 QPS，比例虽小仍会过载。放量前按峰值、实例容量和冗余系数计算，并为重试和长尾留余量。

扩到 20% 前不仅看技术错误率，还要比较 v1/v2 的转化、订单金额等业务指标；两组用户结构需要足够一致，否则结论会偏差。

六、数据与协议兼容

灰度意味着新旧版本长期并存。数据库变更采用 expand/contract：先加兼容字段、双读或双写，等旧版本退出再删除旧字段。消息 Schema 应保持向后兼容，并防止 v2 事件被 v1 消费失败。仅把 HTTP 流量路由正确，并不能解决共享数据层兼容。

回滚时先停止新流量，再确认 v2 已产生的数据能被 v1 读取。若不能，应执行数据迁移或保持 v2 处理存量，而不是强制切回。

七、常见误区与追问

误区：随机 5% 就是灰度路由。 人群漂移会让体验和状态不可复现。
误区：客户端传来的版本 header 可以直接信任。 外部标签可能越权，必须由可信入口生成或签名。
误区：入口命中 v2 就完成了全链路灰度。 RPC、MQ 和异步线程都可能丢失标签。
误区：小比例一定不会过载。 还要比较灰度实例数与绝对 QPS。
追问：匿名用户如何稳定？ 使用受控 cookie/deviceId；没有稳定 key 时明确按会话或请求策略。
追问：v2 无实例怎么办？ 按接口语义预设回落或失败，禁止临时随机决策。
追问：如何防止跨泳道调用？ 服务发现严格过滤、链路指标按 lane 展示，并做串线告警。

八、加强记忆

灰度路由沿“分桶—染色—透传—筛选—观测—回滚”实现：稳定哈希选人，可信入口写标签，全链路传播，服务发现只在匹配实例内选址，按版本比较技术与业务指标，并提前解决数据兼容与空集策略。比例只是表象，绝对容量和状态一致性才决定安全性。

简化版

详细版