3. 补偿机制原理：补偿事务定义、正向事务与补偿事务关系、补偿幂等性设计、补偿失败处理策略
Saga 事务模型的核心在于将长事务拆解为一系列本地事务，并通过补偿事务在失败时回滚已提交的局部操作。理解补偿机制的原理，是设计高可靠压测场景库的前提。本节从补偿事务的定义出发，逐步剖析其与正向事务的关系、幂等性设计要点以及失败处理策略。
3.1 补偿事务定义
补偿事务（Compensating Transaction）是一个业务层面的逆向操作，用于撤销或抵消已成功提交的正向事务（Forward Transaction）所产生的业务效果。与数据库的物理回滚不同，补偿事务是业务逻辑层面的回滚，它必须保证最终的业务一致性。
关键特征：
- 业务语义明确：补偿操作必须与正向操作在业务上可逆，例如“扣减库存”的补偿是“增加库存”。
- 可执行性：补偿事务必须能够独立执行，不依赖正向事务的上下文状态。
- 最终一致性：补偿事务不追求实时一致性，而是保证系统在某个时间点达到最终一致状态。
| 对比维度 | 数据库回滚 | Saga 补偿事务 |
|---|---|---|
| 作用范围 | 单库事务 | 跨服务、跨数据库 |
| 操作对象 | 数据行（undo log） | 业务状态（逆向 API） |
| 执行时机 | 事务提交前 | 事务提交后 |
| 失败影响 | 事务整体回滚 | 触发补偿失败处理策略 |
3.2 正向事务与补偿事务关系
正向事务与补偿事务构成一对业务逆操作。在 Saga 编排中，每个正向事务 Ti 都对应一个补偿事务 Ci。当 Saga 执行到第 k 步失败时，系统会依次执行 Ck, Ck-1, …, C1 来撤销已完成的步骤。
设计原则：补偿事务必须能够处理正向事务已提交但尚未生效的中间状态。例如，扣减库存后尚未发货，补偿时只需恢复库存；若已发货，则需先取消物流再恢复库存。
3.3 补偿幂等性设计
在分布式系统中，网络超时、重试机制可能导致补偿事务被多次执行。补偿事务必须设计为幂等的，即多次执行与一次执行产生相同的业务效果。
幂等性实现策略
| 策略 | 实现方式 | 适用场景 |
|---|---|---|
| 唯一请求 ID | 每次补偿请求携带全局唯一 ID，服务端去重 | 通用方案，推荐首选 |
| 状态机校验 | 补偿前检查业务状态，仅允许特定状态执行 | 状态流转明确的业务 |
| 乐观锁 | 使用版本号或时间戳，更新时校验 | 高并发写入场景 |
| 业务键去重 | 利用数据库唯一索引，重复插入直接失败 | 补偿记录持久化场景 |
// 幂等补偿接口示例（伪代码）
public boolean compensate(String sagaId, String requestId) {
// 1. 检查 requestId 是否已处理
if (idempotentChecker.isProcessed(requestId)) {
return true; // 已处理，直接返回成功
}
// 2. 执行业务补偿逻辑
boolean result = doCompensate(sagaId);
// 3. 记录 requestId 为已处理
idempotentChecker.markProcessed(requestId);
return result;
}
压测注意：在压测场景库中，必须构造重复补偿请求来验证幂等性。建议在场景中注入 2~3 次重复的补偿调用，检查业务状态是否被多次修改。
3.4 补偿失败处理策略
补偿事务本身也可能失败（如网络故障、服务宕机、业务规则冲突）。系统必须定义明确的失败处理策略，避免陷入“补偿的补偿”无限循环。
常见处理策略对比
| 策略 | 描述 | 优点 | 缺点 |
|---|---|---|---|
| 重试（Retry） | 指数退避重试，最大次数限制 | 实现简单，自动恢复 | 可能阻塞后续补偿 |
| 人工介入（Manual） | 记录失败日志，触发告警，等待运维处理 | 安全可控，避免自动化误操作 | 响应延迟，依赖人员 |
| 降级（Degrade） | 跳过当前补偿，执行后续补偿，最终人工核对 | 快速恢复流程 | 可能产生数据不一致窗口 |
| 死信队列（DLQ） | 将失败补偿消息转入死信队列，定时扫描重试 | 解耦，异步处理 | 增加系统复杂度 |
压测场景库建议：
- 构造补偿服务超时场景（如设置 30s 延迟），验证重试机制和超时阈值。
- 构造补偿服务返回业务异常（如库存不足无法恢复），验证人工介入告警链路。
- 构造连续多次补偿失败，验证死信队列的积压和重放能力。
补偿失败处理策略选择矩阵
| 失败原因 | 推荐策略 | 重试次数 | 告警级别 |
|---|---|---|---|
| 网络超时 | 重试（指数退避） | 3 次 | WARN |
| 服务不可用（5xx） | 重试 + 降级 | 2 次 | ERROR |
| 业务规则冲突（如订单已取消） | 人工介入 | 0 次 | CRITICAL |
| 数据版本冲突 | 重试（刷新版本） | 1 次 | WARN |
补偿机制的设计质量直接决定 Saga 事务的可靠性。在压测场景库中，应覆盖补偿事务的正常执行、幂等校验、重试耗尽、人工介入触发等全链路场景，确保生产环境下的补偿逻辑经得起考验。