1. 课程导论：Backstage插件架构概览、IDP故障域概念、隔离性测试的重要性
1.1 Backstage 插件架构概览
Backstage 是一个由 Spotify 开源并捐赠给 CNCF 的内部开发者门户平台。其核心设计哲学是“一切皆插件”。平台本身仅提供骨架、应用模型、权限与集成框架，所有业务功能——从软件目录、技术文档、CI/CD 视图到成本管理——均由独立的插件提供。
一个典型的 Backstage 插件由以下三层构成：
| 层次 | 组件 | 职责 | 故障影响范围 |
|---|---|---|---|
| 前端层 | React 组件、Card、EntityPage | UI 渲染、用户交互、路由注册 | 仅影响该插件的前端视图 |
| 后端层 | Plugin Router、Service、Provider | API 暴露、数据聚合、与外部系统通信 | 可能影响依赖该 API 的其他插件 |
| 集成层 | scaffolder、catalog、techdocs 等核心模块 | 提供平台级能力（模板、目录、文档） | 故障可能扩散至整个平台 |
关键认知： Backstage 的插件并非完全隔离的微服务。前端插件共享同一个浏览器进程和 React 树；后端插件共享同一个 Node.js 进程和数据库连接池。这种“进程内共享”架构是故障扩散的根本原因。
1.2 IDP 故障域概念
故障域（Fault Domain） 是混沌工程与系统可靠性工程中的核心概念。在 IDP（内部开发者平台）语境下，故障域定义为：“平台中一个组件发生故障时，能够独立影响的最小逻辑或物理边界”。
对于 Backstage 这类单体式门户，故障域通常不是按“进程”或“容器”划分，而是按插件边界和资源边界划分：
- 插件级故障域：单个插件的前端崩溃不应导致其他插件 UI 白屏；单个后端插件的内存泄漏不应耗尽整个 Node.js 进程的堆。
- 数据级故障域：插件 A 的数据库查询死锁不应阻塞插件 B 的 Catalog 读取。
- 依赖级故障域：插件 A 依赖的外部 API 超时不应导致插件 B 的请求队列堆积。
实践提示： 在 IDP 平台中，故障域边界越清晰，爆炸半径越小。Backstage 默认架构并未强制隔离，因此需要通过插件开发规范、资源配额、异步边界和熔断器来“人工划定”故障域。
1.3 隔离性测试的重要性
隔离性测试是验证 IDP 平台中每个插件是否真正具备独立故障域的关键手段。没有隔离性测试，以下场景将频繁发生：
- “坏邻居”效应：一个插件的内存泄漏导致整个 Backstage 后端 OOM，所有开发者无法访问门户。
- 级联故障：插件 A 的数据库连接池耗尽，导致插件 B 的 Catalog 查询超时，进而引发前端全局错误。
- 安全边界穿透：插件 A 的 XSS 漏洞通过共享的 React 上下文污染插件 B 的渲染内容。
| 测试维度 | 测试目标 | 典型故障注入 | 预期隔离行为 |
|---|---|---|---|
| 进程隔离 | 验证插件崩溃不杀死主进程 | 注入未捕获异常、堆栈溢出 | 插件沙箱捕获异常，主进程继续运行 |
| 资源隔离 | 验证插件不耗尽共享资源 | 内存泄漏、连接池占满、CPU 死循环 | 资源配额生效，其他插件不受影响 |
| 数据隔离 | 验证插件不污染共享数据 | 修改全局状态、篡改 Catalog 实体 | 数据变更仅限插件自身作用域 |
| 依赖隔离 | 验证外部依赖故障不扩散 | 下游 API 超时、DNS 解析失败 | 熔断器触发，仅影响调用方插件 |
⚠️ 常见误区： 很多团队认为“只要每个插件独立部署就实现了隔离”。但在 Backstage 中，前端插件共享浏览器进程，后端插件共享 Node.js 进程，进程内隔离才是真正的挑战。本课程后续章节将逐一演示如何通过 Backstage 插件开发框架、沙箱机制和混沌工程工具实现并验证这种隔离。
本课程将围绕上述四个隔离维度，结合 Backstage 插件开发实战与混沌工程实验，帮助学员建立从“架构认知”到“故障验证”的完整能力闭环。