错误处理基础原则：Fail Fast、优雅降级、幂等性与错误隔离

在 BFF（Backend For Frontend）架构中，错误处理不是简单的 try-catch 堆砌，而是一套贯穿请求全生命周期的防御体系。本章聚焦四个最核心的基础原则：Fail Fast、优雅降级、幂等性与错误隔离。这四个原则共同决定了 BFF 在面对上游服务故障、下游超时、重复请求或局部异常时的行为边界。

2.1 Fail Fast（快速失败）原则

Fail Fast 的核心思想是：一旦检测到不可恢复的错误条件，立即终止当前操作并向上层抛出明确的错误信号，而不是继续执行可能产生更大破坏的后续逻辑。在 BFF 中，这通常表现为对输入参数、依赖服务状态、资源可用性的前置校验。

2.1.1 典型应用场景

• 请求参数校验：缺少必填字段、格式错误、超出范围的值，立即返回 400 错误。
• 依赖服务健康检查：调用下游前，先检查断路器状态或健康端点，若不可用则直接返回降级响应。
• 资源配额检查：数据库连接池、线程池、内存缓冲区耗尽时，拒绝新请求而非阻塞等待。

2.1.2 代码示例：BFF 入口参数校验

// Node.js (Express) 示例：Fail Fast 参数校验
function validateCreateOrder(req, res, next) {
  const { userId, productId, quantity } = req.body;
  if (!userId || typeof userId !== 'string') {
    return res.status(400).json({ error: 'MISSING_USER_ID', message: '用户ID不能为空' });
  }
  if (!productId || typeof productId !== 'string') {
    return res.status(400).json({ error: 'MISSING_PRODUCT_ID', message: '商品ID不能为空' });
  }
  if (!quantity || quantity <= 0 || quantity > 100) {
    return res.status(400).json({ error: 'INVALID_QUANTITY', message: '数量必须在1-100之间' });
  }
  next(); // 校验通过，继续处理
}

2.2 优雅降级（Graceful Degradation）原则

优雅降级是指当 BFF 依赖的某个下游服务出现故障或性能劣化时，系统能够自动切换到备选方案或返回部分可用数据，而不是完全崩溃或返回空白页。降级策略需要根据业务场景的容忍度分级设计。

2.2.1 降级策略分级

2.2.2 降级实现示例（Go）

// Go 示例：BFF 调用用户服务时的降级逻辑
func getUserProfile(ctx context.Context, userID string) (*UserProfile, error) {
    // 尝试调用下游用户服务
    profile, err := userServiceClient.GetProfile(ctx, userID)
    if err == nil {
        return profile, nil
    }

    // 判断错误类型：超时或服务不可用
    if isTimeoutError(err) || isUnavailableError(err) {
        // L1 降级：返回缓存数据
        cached, cacheErr := cacheRepo.GetUserProfile(ctx, userID)
        if cacheErr == nil {
            log.Warn("user service degraded, using cache for user: %s", userID)
            return cached, nil
        }
        // L2 降级：返回最小化结构
        return &UserProfile{UserID: userID, Name: "未知用户", Status: "offline"}, nil
    }

    // 其他错误（如参数错误）不降级，直接返回错误
    return nil, fmt.Errorf("get user profile failed: %w", err)
}

2.3 幂等性（Idempotency）原则

幂等性是指同一个请求无论执行一次还是多次，对系统产生的副作用都是相同的。在 BFF 中，幂等性是应对网络重试、客户端重复提交、消息队列重复消费等场景的关键保障。

2.3.1 幂等性实现方式对比

2.3.2 幂等令牌实现流程

// Node.js 示例：基于幂等令牌的去重中间件
const idempotentStore = new Map(); // 生产环境应使用 Redis

function idempotencyMiddleware(req, res, next) {
  const idempotencyKey = req.headers['idempotency-key'];
  if (!idempotencyKey) {
    return res.status(400).json({ error: 'MISSING_IDEMPOTENCY_KEY' });
  }

  // 检查是否已处理过该 Key
  if (idempotentStore.has(idempotencyKey)) {
    const cachedResponse = idempotentStore.get(idempotencyKey);
    return res.status(cachedResponse.status).json(cachedResponse.body);
  }

  // 拦截 res.send 以缓存响应
  const originalSend = res.send.bind(res);
  res.send = function (body) {
    idempotentStore.set(idempotencyKey, { status: res.statusCode, body });
    // 设置 TTL 防止内存泄漏
    setTimeout(() => idempotentStore.delete(idempotencyKey), 3600000);
    return originalSend(body);
  };

  next();
}

2.4 错误隔离（Error Isolation）原则

错误隔离的目的是防止一个模块或服务的故障级联扩散到整个 BFF 系统。在微服务和 BFF 架构中，隔离性通常通过舱壁模式（Bulkhead）、断路器、独立进程/线程池等技术实现。

2.4.1 隔离层次与实现

• 线程/协程隔离：为不同下游服务分配独立的线程池或协程池，一个服务的阻塞不会耗尽所有资源。
• 进程隔离：将不同业务域的 BFF 部署为独立进程，通过进程级资源限制（cgroup）实现硬隔离。
• 断路器隔离：当某个下游服务错误率达到阈值时，断路器打开，后续请求直接失败或降级，不再消耗连接资源。
• 数据源隔离：不同服务使用独立的数据库连接池或缓存实例，避免一个服务的慢查询拖垮全局连接池。

2.4.2 舱壁模式（Bulkhead）示意图

2.5 四个原则的协同关系

这四个原则并非孤立存在，它们在 BFF 错误处理中形成互补的防御链条：

• Fail Fast 在请求入口处拦截无效请求，减少下游无效负载。
• 错误隔离 确保一个服务的故障不会拖垮整个 BFF 进程。
• 优雅降级 在隔离的基础上，为故障提供可接受的替代响应。
• 幂等性 为降级和重试提供安全保证，防止重复请求造成数据不一致。