3、升级窗口概念：灰度升级、蓝绿部署、金丝雀发布在网关场景下的窗口期定义

在云原生网关的跨环境迁移中，“升级窗口”是指从旧版本路由表切换至新版本路由表所经历的、存在流量混合或流量不确定性的时间区间。不同的发布策略决定了窗口的形态、时长、风险敞口以及回退能力。本章从网关视角，对三种主流策略的窗口期进行精确定义与对比。

3.1 灰度升级（Rolling Update）窗口

灰度升级在网关场景下表现为：逐步替换网关实例或路由规则，每次仅更新一小部分流量路径，直至全部完成。

• 窗口起点：第一个新版本路由规则或网关实例开始接收流量。
• 窗口终点：最后一个旧版本实例或规则被完全下线。
• 窗口特征：新旧版本共存，流量按实例比例或权重分配，窗口长度由步长和验证间隔决定。
• 网关风险：部分请求可能因路由不一致而失败（如旧实例无法解析新路由头）。

3.2 蓝绿部署（Blue-Green Deployment）窗口

蓝绿部署在网关场景下表现为：维护两套完全独立的路由表或网关集群（蓝环境与绿环境），通过一次性的流量切换完成升级。

• 窗口起点：网关执行流量切换命令（如修改 DNS 解析、负载均衡器权重或路由表默认目标）。
• 窗口终点：所有流量稳定到达新环境，旧环境进入待回退状态。
• 窗口特征：窗口极短（秒级至分钟级），新旧环境在切换瞬间存在短暂流量交叉；切换后旧环境保留，用于快速回退。
• 网关风险：切换瞬间的连接耗尽、会话丢失、DNS 缓存未刷新导致的流量错乱。

3.3 金丝雀发布（Canary Release）窗口

金丝雀发布在网关场景下表现为：将一小部分特定流量（按用户、地域、请求头等维度）导向新版本路由表，在验证无误后逐步放大比例。

• 窗口起点：金丝雀规则在网关中生效，开始匹配并转发特定流量至新版本。
• 窗口终点：金丝雀比例达到 100%，旧版本路由规则完全下线。
• 窗口特征：流量按策略（非随机）划分，窗口内存在多个“子窗口”（如 1% → 5% → 20% → 100%），每个子窗口需验证通过。
• 网关风险：路由匹配逻辑复杂，可能误匹配或漏匹配；金丝雀流量与基线流量隔离不彻底。

3.4 窗口期对账的关键约束

无论采用哪种发布策略，网关路由表对账在窗口期内都必须满足以下约束：

1. 一致性校验：窗口期内，新旧路由表必须分别与各自的后端服务状态保持一致，避免出现“新路由指向已下线服务”或“旧路由遗漏新服务”。
2. 流量不丢失：对账系统需识别窗口期内“未匹配任何路由”的请求，并触发告警或默认转发策略。
3. 回滚路径验证：每次窗口期开始前，必须验证回滚路径的完整性（如旧路由表是否仍可访问、旧网关实例是否健康）。
4. 窗口期锁定：对账任务在窗口期内应暂停自动修复，避免对账系统将“预期内的新旧共存”误判为“路由不一致”而触发错误修复。

3.5 窗口期选择矩阵

根据迁移场景的不同，推荐选择不同的发布策略与窗口期定义：