3. 安全压测原则：压测环境隔离、数据安全、熔断保护、渐进式加压策略

在生产或类生产环境进行尾延迟压测，本质上是向系统注入受控的故障与负载。若缺乏安全约束，一次压测可能演变为真实的生产事故。本章定义四项核心安全原则，作为所有压测实验的准入基线。

3.1 压测环境隔离

环境隔离是安全压测的物理基础。目标是将压测流量与真实用户流量、生产数据、外部依赖进行严格分离。

3.2 数据安全

压测过程中涉及的数据处理必须遵循最小权限与脱敏原则。Go 压测工具（如 ghz、vegeta、自研压测框架）在构造请求时，严禁携带真实用户标识或敏感字段。

• 请求数据脱敏：使用 UUID 或递增 ID 替代真实用户 ID、手机号、邮箱；所有 payload 中的字符串字段长度与字符集随机生成，不包含真实姓名、地址、证件号。
• 响应数据过滤：压测客户端不应将服务端返回的完整响应体写入持久化日志；若需记录，必须经过字段级脱敏（如正则替换身份证中间 8 位为 ********）。
• 日志与监控数据清理：压测结束后，清理压测集群上的临时数据、日志文件、Prometheus 指标（若压测指标与生产指标混用同一存储）。

// Go 压测请求构造示例：脱敏用户 ID
func buildRequest(userIndex int) *pb.SayHelloRequest {
    return &pb.SayHelloRequest{
        UserId:   fmt.Sprintf("loadtest-user-%08d", userIndex), // 非真实 ID
        UserName: fmt.Sprintf("test-user-%d", userIndex),       // 随机用户名
        Email:    fmt.Sprintf("loadtest-%d@example.com", userIndex), // 脱敏邮箱
    }
}

3.3 熔断保护

熔断是压测系统的自保机制。当压测目标出现异常（如 P99 延迟超过阈值、错误率飙升、CPU 打满），压测引擎必须主动降级或停止，而非继续加压直至系统雪崩。

熔断策略应包含三个层级：

1. 单请求级熔断：单个请求超时（如超过 10s）立即标记失败，不阻塞 goroutine 池。
2. 窗口级熔断：滑动窗口（如 10s）内错误率超过 20% 或 P99 延迟超过目标值 3 倍，触发熔断，暂停发送新请求。
3. 全局级熔断：压测目标完全不可达（TCP 连接失败、HTTP 503 持续 30s），压测引擎自动退出并发送告警。

3.4 渐进式加压策略

渐进式加压是避免“瞬间压垮”的核心手段。压测负载应从低水平开始，按阶梯或线性方式逐步增加，在每个阶梯停留足够时间以观察系统尾延迟变化。

// Go 阶梯式加压伪代码
func stepLoadTest(client pb.GreeterClient, startRPS, maxRPS, step, duration int) {
    for rps := startRPS; rps <= maxRPS; rps += step {
        log.Printf("Stepping to %d RPS", rps)
        ctx, cancel := context.WithTimeout(context.Background(), time.Duration(duration)*time.Second)
        runLoad(ctx, client, rps) // 在该 RPS 下运行 duration 秒
        cancel()
        // 阶梯间冷却 5 秒，观察延迟是否回落
        time.Sleep(5 * time.Second)
    }
}

3.5 四项原则协同关系

四项原则并非独立存在，而是构成一个完整的压测安全闭环：