蓝绿发布基础：蓝绿环境定义、流量切换机制、零停机部署原理
蓝绿发布（Blue-Green Deployment）是一种通过维护两套完全独立的生产环境来实现零停机、快速回滚的发布策略。本章将系统阐述蓝绿环境的核心定义、流量切换机制以及零停机部署的底层原理，为后续 Secrets 版本控制与自动化回滚设计奠定基础。
2.1 蓝绿环境定义
蓝绿发布的核心思想是同时运行两套生产级环境：蓝色环境（Blue） 和 绿色环境（Green）。在任何时刻，只有一套环境承载全部生产流量，另一套环境处于待命或预热状态。
| 环境角色 | 状态定义 | 典型用途 | 流量承载 |
|---|---|---|---|
| 蓝色环境（Blue） | 当前活跃（Active） | 运行当前稳定版本 v1.0 | 100% 生产流量 |
| 绿色环境（Green） | 待命/预热（Standby） | 部署新版本 v2.0，执行集成测试与验证 | 0% 生产流量（仅内部验证） |
| 切换后蓝色环境 | 空闲/回滚候选（Idle） | 保留旧版本 v1.0，作为回滚目标 | 0% 生产流量 |
| 切换后绿色环境 | 活跃（Active） | 运行新版本 v2.0 | 100% 生产流量 |
关键原则：两套环境在基础设施层面（网络、存储、计算资源）必须完全隔离，但在数据层面通常共享同一套数据库或消息队列。Secrets 版本控制正是为了解决环境切换时凭证一致性与回滚安全性的核心挑战。
2.2 流量切换机制
流量切换是蓝绿发布的核心操作，通常通过负载均衡器、网关或服务网格的配置变更来实现。切换过程要求原子性、可观测性和快速回退能力。
2.2.1 切换流程步骤
- 预热绿色环境：将新版本部署至绿色环境，执行健康检查、冒烟测试与集成验证。
- 流量切换：修改负载均衡器或网关的路由规则，将生产流量从蓝色环境全量切换至绿色环境。
- 观察期：保持蓝色环境在线，监控绿色环境的错误率、延迟、吞吐量等指标。
- 确认稳定：观察期通过后，将蓝色环境标记为待命状态，释放旧资源或保留作为回滚候选。
- 回滚触发（异常时）：若观察期发现异常，立即将流量切回蓝色环境，恢复旧版本服务。
切换原子性要求：流量切换操作必须在单个配置变更中完成，避免部分流量进入异常环境导致数据不一致。推荐使用基础设施即代码（IaC）工具管理切换配置，确保可审计、可重复。
2.3 零停机部署原理
零停机部署（Zero-Downtime Deployment）是指在应用版本更新过程中，用户始终能够正常访问服务，不会感知到服务中断或性能下降。蓝绿发布是实现零停机部署的经典模式之一，其核心原理建立在以下三个技术支柱之上：
| 技术支柱 | 原理说明 | 蓝绿发布中的实现 |
|---|---|---|
| 独立环境隔离 | 新旧版本运行在完全独立的计算资源上，互不干扰 | Blue 与 Green 环境使用独立的 Pod/VM 实例、网络策略与配置 |
| 流量瞬时切换 | 通过路由规则变更实现毫秒级流量重定向 | 负载均衡器后端池原子替换，或服务网格 VirtualService 权重调整 |
| 会话与数据兼容 | 新版本必须兼容旧版本的会话状态与数据模型 | 共享数据库、Session 外部化（Redis）、API 版本兼容 |
2.3.1 零停机的关键保障措施
- 优雅关闭（Graceful Shutdown）：旧版本实例在流量切走后，等待正在处理的请求完成（通常设置 30-60 秒的 draining 窗口），再释放资源。
- 健康检查探针（Health Probe）：新版本环境必须通过就绪探针（Readiness Probe）和存活探针（Liveness Probe）验证，确保只有健康的实例才能接收流量。
- 预热与缓存填充：新环境启动后，先进行流量预热（Warm-up），让缓存、连接池、JIT 编译等达到稳定状态，再切换生产流量。
- 渐进式切换（可选）：对于高风险发布，可采用灰度策略（如 10% → 50% → 100%），逐步验证新版本稳定性。
常见陷阱：数据库 Schema 变更与旧版本不兼容是导致零停机失败的首要原因。蓝绿发布要求数据库变更必须向前兼容（Backward Compatible），通常采用“添加新列/表 → 双写 → 迁移数据 → 删除旧列”的分阶段策略。
2.4 蓝绿发布与 Secrets 版本控制的关联
在蓝绿发布场景中，Secrets 版本控制面临独特的挑战：
- 环境绑定：蓝色环境与绿色环境可能使用不同的数据库凭证、或加密证书，Secrets 必须与环境版本严格绑定。
- 切换一致性：流量切换时，Secrets 必须同步切换，避免新版本使用旧凭证导致认证失败。
- 回滚安全：回滚操作需要同时恢复旧版本的 Secrets，确保回滚后的环境能够正常访问依赖服务。