事务参与者为什么必须幂等？
简化版
协调器、消息系统和调用方都可能重试，参与者必须让同一业务动作重复到达不重复扣款、冻结或释放资源。
详细版
为业务动作定义稳定键，幂等记录与副作用在同一本地事务提交；状态机只允许合法迁移，重复请求返回既有结果。
回答“事务参与者为什么必须幂等？”时，应说明语义边界、正常流程、异常恢复和验证指标。一个具体例子是：同一 Cancel 被重试 5 次，冻结记录只能从 FROZEN 变为 RELEASED 一次，其余 4 次返回已释放。
关键判断：不能把一次成功响应当作系统已经收敛，还要解释重复、超时、乱序和节点故障。
完整版教学
一、概念与业务边界
协调器、消息系统和调用方都可能重试，参与者必须让同一业务动作重复到达不重复扣款、冻结或释放资源。
为业务动作定义稳定键，幂等记录与副作用在同一本地事务提交；状态机只允许合法迁移，重复请求返回既有结果。
易错点：分析“事务参与者为什么必须幂等？”时，先确认权威状态和允许的不一致窗口，再选择组件；技术名词不能替代业务语义。
二、关键状态与身份
分析“事务参与者为什么必须幂等？”需要为动作建立稳定业务身份，并让状态带版本、阶段和时间边界。该题中的重试要复用业务身份，新的业务动作才生成新身份；否则无法区分重试与重复业务。
“事务参与者为什么必须幂等？”涉及的关键状态必须能在进程重启后恢复。跨越两个系统时，应把未完成意图持久化并允许后台继续推进，不能依赖进程内标志。
三、主流程
业务请求与稳定身份
-> 校验当前状态和版本
-> 原子执行本地变更 / 记录待办意图
-> 推进远端动作或缓存状态
-> 查询、重试、补偿与对账对“事务参与者为什么必须幂等？”而言，主流程的每一步都要有明确成功证明；结果未知时进入可查询状态，不能直接假定成功或失败。
四、数字与容量推演
同一 Cancel 被重试 5 次，冻结记录只能从 FROZEN 变为 RELEASED 一次，其余 4 次返回已释放。
上述数字用于验证“事务参与者为什么必须幂等？”的量级。生产参数还要结合 P99、峰值流量、故障持续时间和业务截止时间校准，并预留恢复期间的额外容量。
五、方案对比
| 方案 | 优点 | 主要边界 |
|---|---|---|
| 查询后写入 | 直观 | 并发竞态 |
| 唯一约束 | 数据库强制去重 | 跨外部系统仍需协议 |
| 状态机条件更新 | 适合多阶段 | 状态设计更复杂 |
“事务参与者为什么必须幂等？”没有脱离场景的最佳方案。正确做法是先满足正确性和恢复要求，再针对已经测出的延迟或吞吐瓶颈优化。
六、故障边界与恢复
需要演练以下故障：
- 幂等键每次重试都变化。
- 记录成功但业务失败。
- 处理中状态永久卡住。
- TTL 小于最晚重试。
“事务参与者为什么必须幂等？”的恢复动作必须幂等、有次数与截止时间；无法自动判定的记录转入人工队列。人工处理也要经过状态机并保留审计，不能直接改终态字段。
七、观测与上线验收
验收“事务参与者为什么必须幂等？”至少监控请求量、成功率、P95/P99、重试量、积压最老年龄、异常终态和资源水位。上线先只观测再灰度执行，同时比较业务正确性与系统负载。
对“事务参与者为什么必须幂等？”的验收应包含故障注入：在关键提交窗口制造超时、宕机、重复和乱序，确认系统最终状态、业务副作用与审计记录一致。
八、常见误区与追问
- 误区：接口无返回值就天然幂等。 副作用仍可能重复发生。
- 误区：分布式锁等于幂等。 锁过期后的串行重复仍存在。
- 追问：键怎么设计？ 由业务实体与动作确定，不用随机 attempt id。
- 追问：处理中如何接管？ 租约加版本条件，先确认旧执行状态。
- 追问：外部系统不支持幂等怎么办？ 保存调用流水并通过查询、对账和人工补偿。
九、加强记忆
回答“事务参与者为什么必须幂等？”可以按“语义—身份—原子边界—异常—验收”展开。先说清什么必须一致，再给稳定身份和主流程，随后覆盖超时、重复、乱序与恢复，最后用数字、指标和对账证明方案能收敛。