1、金融API的稳定性挑战：为什么需要限流与熔断？
1.1 金融系统的脆弱平衡
在金融科技领域，API 是业务的核心通道。一笔交易、一次行情查询、一个风控判断，背后都是毫秒级的 API 调用。然而，当流量洪峰来临时，系统往往面临严峻考验：
- 突发流量：开盘瞬间、重大新闻发布、大促活动，请求量可在数秒内暴涨 10~100 倍。
- 外部依赖脆弱：支付网关、行情源、风控引擎等第三方服务一旦变慢，会迅速拖垮调用方。
- 资源有限：数据库连接池、线程池、网络带宽、CPU 都是硬约束，超载即崩溃。
核心矛盾：金融 API 既要保证高可用（99.99%+），又要应对不可预测的流量尖峰。没有保护机制的系统，就像没有保险丝的电路——短路只是时间问题。
1.2 雪崩效应：从一次超时到全面瘫痪
雪崩效应是分布式系统中最危险的连锁故障模式。以下表格展示了典型的雪崩演进阶段：
| 阶段 | 现象 | 系统状态 |
|---|---|---|
| 第一阶段 | 单个下游服务（如行情源）响应变慢，从 10ms 恶化到 5s | 局部故障，尚未扩散 |
| 第二阶段 | 调用方线程/连接被长时间占用，请求排队积压 | 资源开始耗尽 |
| 第三阶段 | 新请求不断涌入，等待队列溢出，内存飙升 | 调用方自身开始不稳定 |
| 第四阶段 | 调用方崩溃，上游服务重试加剧压力，故障向上游传播 | 级联故障，系统雪崩 |
| 第五阶段 | 整个调用链路瘫痪，所有依赖该链路的业务不可用 | 全面宕机 |
真实案例：某券商在 2020 年行情火爆时，因未对行情 API 做限流，导致行情推送线程池被占满，进而阻塞了交易下单线程，最终全站交易中断 30 分钟。这就是典型的雪崩效应。
1.3 系统保护机制：限流与熔断
限流（Rate Limiting）和熔断（Circuit Breaker）是应对雪崩的两大核心手段，它们分工明确、协同工作：
| 机制 | 目标 | 触发条件 | 动作 | 恢复方式 |
|---|---|---|---|---|
| 限流 | 控制请求速率，防止系统过载 | QPS/并发数超过阈值 | 直接拒绝或排队等待 | 流量回落后自动恢复 |
| 熔断 | 快速隔离故障依赖，防止级联失败 | 错误率/超时率超过阈值 | 快速失败，返回降级结果 | 经过冷却时间后半开探测 |
两者在金融场景中的典型应用：
- 限流：对每个 API Key 限制每秒 100 次调用，防止某个客户端的异常流量挤占公共资源。
- 熔断：当支付网关连续 10 次调用超时，熔断器打开，后续请求直接返回“支付服务暂不可用”的降级响应，避免线程池被耗尽。
1.4 限流与熔断的协同架构
下图展示了限流与熔断在金融 API 网关中的典型部署位置与协作关系：
1.5 为什么 Python 是实现限流熔断的理想语言？
在金融科技领域，Python 凭借以下优势成为限流熔断组件开发的首选：
| 优势 | 说明 | 金融场景价值 |
|---|---|---|
| 生态丰富 | Flask/FastAPI 构建 API 网关，Redis 实现分布式限流 | 快速搭建原型，降低开发成本 |
| 异步支持 | asyncio + aiohttp 实现高并发非阻塞 I/O | 单机可支撑数千并发连接 |
| 可读性强 | 限流算法（令牌桶、滑动窗口）代码简洁直观 | 便于审计、维护和团队协作 |
| 胶水特性 | 轻松对接 C++ 交易引擎、Java 风控系统 | 在异构金融系统中充当网关层 |
1.6 一个简单的限流示例：令牌桶算法
令牌桶是最常用的限流算法之一。以下 Python 实现展示了其核心逻辑：
import time
import threading
class TokenBucket:
def __init__(self, rate: float, capacity: int):
"""
:param rate: 令牌生成速率（个/秒）
:param capacity: 桶容量（最大突发量）
"""
self.rate = rate
self.capacity = capacity
self.tokens = capacity
self.last_refill = time.monotonic()
self.lock = threading.Lock()
def _refill(self):
now = time.monotonic()
elapsed = now - self.last_refill
new_tokens = elapsed * self.rate
self.tokens = min(self.capacity, self.tokens + new_tokens)
self.last_refill = now
def acquire(self, tokens: int = 1) -> bool:
with self.lock:
self._refill()
if self.tokens >= tokens:
self.tokens -= tokens
return True
return False
# 使用示例：每秒 10 个令牌，桶容量 20
bucket = TokenBucket(rate=10, capacity=20)
for i in range(30):
if bucket.acquire():
print(f"请求 {i+1}: 通过")
else:
print(f"请求 {i+1}: 被限流")
time.sleep(0.05) # 模拟请求间隔
关键点：令牌桶允许短时间内的突发流量（最多 burst 到 capacity），但长期平均速率被 rate 限制。这在金融 API 中非常实用——允许开盘瞬间的请求洪峰，但防止持续超载。