Spring Boot 優(yōu)雅停機(jī)配置了 graceful 就夠嗎10 秒窗口與任務(wù)邊界摘要server.shutdowngraceful只能讓 Spring Boot 在關(guān)閉 Web 服務(wù)器時(shí)停止接收新請(qǐng)求并等待進(jìn)行中的請(qǐng)求完成。線程池任務(wù)、定時(shí)任務(wù)、MQ 消費(fèi)、注冊(cè)中心摘除和 Kubernetes 終止窗口仍需協(xié)同。本文結(jié)合 MetaLite 的公共配置與部署模板拆解“10 秒優(yōu)雅停機(jī)”真正覆蓋什么以及它為什么不是一個(gè)開(kāi)關(guān)就能完成的能力。Spring Boot 服務(wù)上線 Kubernetes 后滾動(dòng)發(fā)布偶爾出現(xiàn)幾次 502最常見(jiàn)的第一反應(yīng)是加上server:shutdown:graceful配置沒(méi)錯(cuò)但如果認(rèn)為它能自動(dòng)處理全部關(guān)閉問(wèn)題下一次發(fā)布仍可能遇到請(qǐng)求已經(jīng)進(jìn)入舊實(shí)例但實(shí)例被強(qiáng)制結(jié)束Nacos 還把流量發(fā)給正在退出的節(jié)點(diǎn)線程池里仍有異步任務(wù)Scheduled任務(wù)執(zhí)行到一半MQ 消息已拉取但業(yè)務(wù)尚未完成Kubernetes 的終止等待時(shí)間小于應(yīng)用需要的時(shí)間。優(yōu)雅停機(jī)不是一個(gè)組件的功能而是一條從流量入口到進(jìn)程退出的時(shí)間鏈。一、MetaLite 默認(rèn)配置做了什么backend-application.yml中包含server:shutdown:gracefulspring:lifecycle:timeout-per-shutdown-phase:10s兩項(xiàng)配置分別表達(dá)graceful → Web 服務(wù)器停止接收新請(qǐng)求并等待活動(dòng)請(qǐng)求 timeout-per-shutdown-phase: 10s → 每個(gè)生命周期關(guān)閉階段最多等待 10 秒這比直接結(jié)束 JVM 更安全但 10 秒不是“系統(tǒng)中所有任務(wù)都保證完成”的承諾。二、優(yōu)雅停機(jī)首先要解決新流量進(jìn)入問(wèn)題一個(gè)實(shí)例準(zhǔn)備退出時(shí)理想順序是標(biāo)記不再就緒 → 從負(fù)載均衡和服務(wù)發(fā)現(xiàn)中摘除 → 停止接收新請(qǐng)求 → 等待在途請(qǐng)求完成 → 關(guān)閉后臺(tái)資源 → 結(jié)束進(jìn)程順序反過(guò)來(lái)就會(huì)出現(xiàn)窗口進(jìn)程已經(jīng)開(kāi)始關(guān)閉網(wǎng)關(guān)或其他服務(wù)仍認(rèn)為它健康于是新請(qǐng)求繼續(xù)到達(dá)。Spring Boot 的 graceful 主要處理當(dāng)前應(yīng)用內(nèi)的 Web 服務(wù)器外部負(fù)載均衡、Nacos 和 Kubernetes 是否及時(shí)停止轉(zhuǎn)發(fā)還要依賴健康狀態(tài)、注冊(cè)中心行為和部署配置。三、健康檢查的“存活”和“就緒”不是一回事MetaLite 提供一個(gè)返回ok的/接口并在 Kubernetes 模板中用于 liveness 和 readiness 探針。兩類探針語(yǔ)義不同探針問(wèn)題失敗后的典型動(dòng)作liveness進(jìn)程是否需要重啟重啟容器readiness實(shí)例是否適合接收流量從 Service 端點(diǎn)移除如果兩個(gè)探針始終調(diào)用同一個(gè)、只返回ok的接口那么應(yīng)用開(kāi)始退出后它可能仍在一段時(shí)間內(nèi)被認(rèn)為“就緒”。更完整的實(shí)現(xiàn)應(yīng)讓 readiness 在關(guān)閉早期先失敗而 liveness 在進(jìn)程真正異常時(shí)才失敗。這樣流量摘除可以早于進(jìn)程退出。四、10 秒窗口應(yīng)該如何確定合理的等待時(shí)間不能拍腦袋應(yīng)觀察真實(shí)請(qǐng)求和任務(wù)耗時(shí)關(guān)閉等待時(shí)間 P99 請(qǐng)求耗時(shí) 流量摘除傳播時(shí)間 必要的資源收尾時(shí)間如果接口超時(shí)上限本身就是 30 秒而關(guān)閉階段只給 10 秒最慢的一批合法請(qǐng)求仍可能被截?cái)?。反過(guò)來(lái)把等待時(shí)間設(shè)成 10 分鐘也不是免費(fèi)發(fā)布速度顯著下降異常任務(wù)可能長(zhǎng)期阻止退出Kubernetes 仍可能在terminationGracePeriodSeconds到期后強(qiáng)殺老版本實(shí)例與新版本并存時(shí)間變長(zhǎng)。等待時(shí)間需要同時(shí)與 HTTP 超時(shí)、RPC 超時(shí)和容器終止窗口對(duì)齊。五、線程池任務(wù)不會(huì)因?yàn)?Web 請(qǐng)求結(jié)束就自動(dòng)安全完成MetaLite 有統(tǒng)一ThreadPoolManager并對(duì)線程上下文、拒絕策略和未捕獲異常進(jìn)行治理。但停機(jī)時(shí)仍要區(qū)分任務(wù)類型可丟棄任務(wù) 允許快速終止 必須完成任務(wù) 等待并設(shè)置上限 可恢復(fù)任務(wù) 保存進(jìn)度后退出 只能執(zhí)行一次的任務(wù) 需要冪等或外部協(xié)調(diào)如果業(yè)務(wù)方法把任務(wù)提交到線程池后立即返回Web 請(qǐng)求完成不代表異步任務(wù)已經(jīng)完成。線程池的 shutdown、awaitTermination 和強(qiáng)制中斷策略需要單獨(dú)定義。六、定時(shí)任務(wù)和 MQ 消費(fèi)是另一條關(guān)閉鏈Scheduled任務(wù)可能在服務(wù)退出前一秒觸發(fā)。即使使用 Redis 鎖保證集群只有一個(gè)實(shí)例執(zhí)行也不能保證這個(gè)實(shí)例不會(huì)在任務(wù)中途被終止。MQ 消費(fèi)同樣存在消息已拉取 → 業(yè)務(wù)處理中 → 實(shí)例退出需要結(jié)合客戶端確認(rèn)機(jī)制判斷消息會(huì)重投、丟失還是重復(fù)處理。因此業(yè)務(wù)仍應(yīng)滿足消費(fèi)冪等關(guān)鍵步驟可重試長(zhǎng)任務(wù)可恢復(fù)關(guān)閉時(shí)停止拉取新消息處理中的消息擁有明確等待上限。優(yōu)雅停機(jī)能減少中斷但不能替代業(yè)務(wù)冪等。七、Kubernetes 的終止時(shí)間必須大于應(yīng)用等待時(shí)間Pod 終止時(shí)Kubernetes 最終受terminationGracePeriodSeconds約束。應(yīng)用內(nèi)部準(zhǔn)備等待 30 秒而 Pod 只給 10 秒后面的等待不會(huì)發(fā)生進(jìn)程會(huì)被強(qiáng)制結(jié)束。部署參數(shù)至少要滿足Kubernetes 終止窗口 流量摘除時(shí)間 Spring 生命周期等待時(shí)間 進(jìn)程退出余量還可以通過(guò)preStop先觸發(fā)就緒狀態(tài)變化或短暫等待讓 Endpoint 變更傳播到網(wǎng)關(guān)和負(fù)載均衡再進(jìn)入應(yīng)用關(guān)閉階段。八、Nacos 場(chǎng)景還要考慮注冊(cè)中心摘除MetaLite 內(nèi)部 RPC 通過(guò) Nacos 選擇健康實(shí)例。服務(wù)關(guān)閉期間需要確認(rèn)實(shí)例何時(shí)從 Nacos 注銷消費(fèi)者多久能感知實(shí)例列表變化查詢到實(shí)例后、真正發(fā)請(qǐng)求前實(shí)例是否可能下線調(diào)用失敗后是否允許對(duì)冪等請(qǐng)求重試全實(shí)例廣播是否會(huì)命中正在退出的節(jié)點(diǎn)。服務(wù)發(fā)現(xiàn)永遠(yuǎn)存在狀態(tài)傳播延遲。因此即使摘除邏輯正確客戶端仍要把連接拒絕、連接重置視為正常分布式故障而不是假設(shè)實(shí)例列表絕對(duì)實(shí)時(shí)。九、一次可驗(yàn)證的停機(jī)演練應(yīng)該看什么不要只檢查日志中是否出現(xiàn)“優(yōu)雅停機(jī)”。更有效的演練是持續(xù)發(fā)送短請(qǐng)求和長(zhǎng)請(qǐng)求同時(shí)觸發(fā)滾動(dòng)發(fā)布觀察 readiness 何時(shí)失敗觀察 Nacos 實(shí)例何時(shí)消失檢查是否出現(xiàn) 502、連接重置和超時(shí)檢查線程池、定時(shí)任務(wù)和 MQ 消費(fèi)是否中斷檢查容器是正常退出還是被強(qiáng)殺核對(duì)新舊版本并存期間的數(shù)據(jù)兼容性。只有經(jīng)過(guò)滾動(dòng)發(fā)布?jí)簻y(cè)才能知道 10 秒到底夠不夠。十、graceful是起點(diǎn)不是完成標(biāo)志MetaLite 將優(yōu)雅停機(jī)作為公共默認(rèn)值是為了讓每個(gè)應(yīng)用至少?gòu)陌踩较蜷_(kāi)始。但完整閉環(huán)還包括Spring Boot 生命周期 Web 服務(wù)器 線程池 定時(shí)任務(wù) MQ 消費(fèi)者 Nacos 服務(wù)發(fā)現(xiàn) Kubernetes 探針與終止窗口 業(yè)務(wù)冪等真正的優(yōu)雅停機(jī)不是“進(jìn)程多等了 10 秒”而是在這段時(shí)間里停止新增工作、完成必要工作并把無(wú)法完成的工作變成可恢復(fù)狀態(tài)?？蚣芎?jiǎn)介MetaLite 是面向企業(yè)生產(chǎn)環(huán)境的新一代 Java 微服務(wù)技術(shù)底座。系列文章重點(diǎn)分享代碼背后的設(shè)計(jì)思路、技術(shù)取舍與工程實(shí)踐。源碼基線JDK 21、Spring Boot 3.2.9、Spring Cloud 2023.0.1、Spring Cloud Alibaba 2023.0.1.3具體組件版本以項(xiàng)目backend-bom為準(zhǔn)。作者簡(jiǎn)介15 年 Spring 體系企業(yè)級(jí)開(kāi)發(fā)經(jīng)驗(yàn)專注于 Java 微服務(wù)架構(gòu)、工程治理與生產(chǎn)實(shí)踐。持續(xù)更新MetaLite 系列內(nèi)容將持續(xù)更新圍繞核心設(shè)計(jì)、源碼鏈路、技術(shù)取舍與生產(chǎn)實(shí)踐展開(kāi)。歡迎關(guān)注作者及時(shí)獲取后續(xù)內(nèi)容。在線演示演示地址: https://admin.metalite.top/演示賬號(hào): guess演示密碼: admin2026