压测基础：压测核心指标与工具选型

性能压测是后端安全合规压测的基石。在分析尾延迟与权限校验关系之前，必须准确理解压测的核心度量指标，并掌握主流压测工具的选型逻辑。本章将系统梳理 QPS、TPS、RT、P99/P999 延迟的定义与计算方式，并通过对比表格和架构图，帮助你在实际压测场景中做出正确的工具选择。

2.1 压测核心指标

压测指标分为吞吐量类和延迟类两大类。吞吐量衡量系统处理请求的能力，延迟衡量请求从发出到收到响应的耗时。两者共同决定系统的性能水位。

2.2 延迟分布与尾延迟

平均延迟（Avg RT）容易掩盖真实问题。一个系统平均 RT 为 50ms，但可能有 5% 的请求延迟超过 500ms。尾延迟（Tail Latency）特指延迟分布中处于高百分位（P99、P999）的延迟值，它直接反映系统的稳定性边界。

在权限校验压测中，尾延迟的典型成因包括：

• 缓存未命中： 权限策略缓存过期，触发数据库查询。
• 策略复杂度： 嵌套角色或属性级权限（ABAC）导致规则引擎计算耗时剧增。
• 并发锁竞争： 权限缓存更新时的写锁或分布式锁等待。
• GC 停顿： JVM 或 Go runtime 的垃圾回收导致短暂停顿，影响 P999。

2.3 压测工具选型

主流压测工具各有侧重。选型时需考虑：协议支持、分布式能力、脚本灵活性、以及是否支持自定义指标采集（如权限校验耗时）。

2.4 工具架构对比

不同工具的架构设计决定了其压测能力和资源消耗模式。下面通过两张架构图对比单机工具（wrk）和分布式工具（k6 / Locust）的核心差异。

2.5 压测脚本示例（k6）

以下是一个使用 k6 进行权限校验压测的脚本片段，展示了如何模拟 Token 获取、权限校验和尾延迟采集：

import http from 'k6/http';
import { check, sleep } from 'k6';
import { Trend } from 'k6/metrics';

// 自定义指标：权限校验延迟
const authDuration = new Trend('auth_duration');

export const options = {
  stages: [
    { duration: '30s', target: 100 },  // 逐步增加并发
    { duration: '1m', target: 100 },   // 保持负载
    { duration: '30s', target: 0 },    // 逐步减少
  ],
  thresholds: {
    http_req_duration: ['p(99)<500'],  // P99 延迟小于 500ms
    auth_duration: ['p(99)<200'],      // 权限校验 P99 小于 200ms
  },
};

export default function () {
  // 模拟登录获取 Token
  const loginRes = http.post('https://api.example.com/login', {
    username: 'test_user',
    password: 'test_pass',
  });
  check(loginRes, { 'login succeeded': (r) => r.status === 200 });
  const token = loginRes.json('token');

  // 发起带权限校验的请求
  const params = {
    headers: {
      'Authorization': `Bearer ${token}`,
    },
  };
  const start = Date.now();
  const res = http.get('https://api.example.com/admin/resource', params);
  const duration = Date.now() - start;
  
  // 记录权限校验延迟
  authDuration.add(duration);
  
  check(res, { 'status is 200': (r) => r.status === 200 });
  sleep(1);
}

2.6 指标与工具的关联决策

选择压测工具时，需要根据目标指标和场景进行匹配：

• 关注 QPS/TPS 上限： 使用 wrk 或 k6 进行快速吞吐量测试，wrk 适合单机极限压测，k6 适合 CI 流水线中的吞吐量验证。
• 关注 P99/P999 尾延迟： 优先选择 k6 或 Locust，因为它们支持自定义指标（如 Trend）和精细化的阈值设置，可以精确采集每次权限校验的耗时。
• 复杂权限策略模拟： 使用 JMeter 或 Locust，通过脚本或 GUI 配置多种用户角色、权限组合和缓存策略，模拟真实业务场景。
• 分布式压测需求： 选择 k6（k6 Cloud 或集群模式）或 Locust（Master-Worker 模式），支持水平扩展以模拟大规模并发用户。