3. Saga失败补偿机制：补偿事务设计原则、幂等性保证、回滚策略

Saga事务模型的核心在于其失败处理方式——当正向操作（TCC中的Try/Confirm）执行过程中某个步骤失败时，系统必须通过一系列补偿事务将已提交的局部事务回滚到初始状态。补偿机制的设计质量直接决定了Saga的可靠性、数据一致性以及系统可观测性。

3.1 补偿事务设计原则

补偿事务并非简单的“反向操作”，它需要遵循以下核心设计原则：

3.2 幂等性保证

补偿事务可能因网络抖动、协调器重试等原因被多次执行。幂等性是补偿机制的第一道防线。常见的幂等性实现策略如下：

• 业务键去重： 为每个补偿操作分配全局唯一的补偿ID（CompensationId），目标服务通过该ID判断是否已执行过补偿。
• 状态机驱动： 将业务对象的状态流转定义为有限状态机，补偿操作仅在特定状态（如“已确认”）下执行，执行后状态迁移至“已补偿”，重复调用时状态不匹配则直接返回成功。
• 版本号乐观锁： 在数据表中增加版本号字段，补偿SQL使用 UPDATE ... SET version = version + 1 WHERE id = ? AND version = ?，更新行数为0时表示已执行过。
• 幂等表： 建立独立的幂等记录表，主键为补偿ID，补偿执行前先插入幂等记录，插入成功才执行补偿逻辑。

// 幂等补偿示例：基于状态机的库存回滚
public boolean compensateStock(String sagaId, String orderId, int quantity) {
    // 1. 查询订单当前状态
    Order order = orderRepository.findById(orderId);
    
    // 2. 状态机校验：只有 CONFIRMED 状态才允许补偿
    if (order.getStatus() != OrderStatus.CONFIRMED) {
        // 已补偿或已取消，直接返回成功（幂等）
        return true;
    }
    
    // 3. 执行补偿：加回库存，状态变更为 COMPENSATED
    int updated = stockRepository.compensateStock(orderId, quantity, order.getVersion());
    if (updated == 0) {
        // 乐观锁冲突或已补偿，重试或返回成功
        return true;
    }
    
    // 4. 更新订单状态
    order.setStatus(OrderStatus.COMPENSATED);
    orderRepository.save(order);
    
    return true;
}

3.3 回滚策略

回滚策略决定了Saga在检测到失败后如何编排补偿事务的执行顺序、并发度以及失败处理。以下是三种主流回滚策略的对比：

以下SVG图展示了反向顺序回滚策略在Saga失败时的完整执行流程：

3.4 补偿失败的处理策略

补偿事务本身也可能失败（如目标服务宕机、数据库连接池耗尽）。此时系统需要额外的处理机制：

• 重试机制： 对失败的补偿操作进行指数退避重试，最大重试次数可配置（通常3~5次）。
• 人工介入： 超过最大重试次数后，将补偿任务写入死信队列（DLQ）或告警表，由运维人员手动处理。
• Saga日志持久化： 将补偿执行记录写入独立的Saga日志表，即使协调器重启也能从断点继续补偿。

// 补偿重试与死信处理示例
public void executeCompensationWithRetry(CompensationTask task) {
    int retryCount = 0;
    int maxRetries = 3;
    while (retryCount < maxRetries) {
        try {
            boolean success = task.execute();
            if (success) {
                // 记录补偿成功，更新Saga日志
                sagaLog.recordCompensationSuccess(task.getSagaId(), task.getStepId());
                return;
            }
        } catch (Exception e) {
            retryCount++;
            if (retryCount >= maxRetries) {
                // 写入死信队列，触发告警
                deadLetterQueue.send(task);
                sagaLog.recordCompensationFailed(task.getSagaId(), task.getStepId(), e.getMessage());
                // 生成OpenTelemetry事件
                Span.current().addEvent("compensation.dead.letter", 
                    Attributes.of(
                        AttributeKey.stringKey("saga.id"), task.getSagaId(),
                        AttributeKey.stringKey("compensation.step"), task.getStepId(),
                        AttributeKey.stringKey("error"), e.getMessage()
                    ));
                break;
            }
            // 指数退避：2^retryCount 秒
            Thread.sleep((long) Math.pow(2, retryCount) * 1000);
        }
    }
}

3.5 补偿事务的可观测性设计

在OpenTelemetry中，补偿事务的可观测性需要覆盖以下维度：