1. 穿透保护算法概述
1.1 什么是穿透保护
穿透保护（Penetration Protection）是一组在分布式系统入口与内部调用链路上部署的防御性算法与策略，用于拦截、识别并限流那些绕过常规缓存或业务逻辑、直接冲击后端存储或计算资源的异常请求。其核心思想是：在请求到达真实处理节点之前，通过多层校验与过滤，将无效、重复、恶意或超量请求提前阻断，从而保障核心服务的稳定性与可用性。
关键认知：穿透保护不是单一算法，而是一套“防御组合拳”，通常包含缓存穿透防护、缓存雪崩防护、缓存击穿防护、重放攻击防护以及流量整形等子策略。
1.2 核心目标：防雪崩、防重放、防穿透
穿透保护的三大核心目标构成了分布式系统稳定性的“铁三角”。下表清晰展示了每个目标的定义、典型场景与保护手段：
| 核心目标 | 定义 | 典型场景 | 保护手段 |
|---|---|---|---|
| 防雪崩 | 防止局部故障或流量激增导致级联崩溃，最终使整个系统不可用 | 缓存过期后大量请求同时穿透到数据库；服务A故障导致依赖它的服务B/C/D全部超时 | 限流（令牌桶/漏桶）、熔断（Circuit Breaker）、隔离（线程池/信号量）、降级 |
| 防重放 | 防止同一请求被多次执行，造成数据不一致或资源浪费 | 网络重传导致支付接口被调用两次；消息队列重复消费；API幂等性缺失 | 幂等性校验（Token/去重表）、时间戳+Nonce、签名机制、分布式锁 |
| 防穿透 | 防止查询不存在的数据导致请求绕过缓存直达数据库，造成数据库压力 | 查询不存在的用户ID；恶意遍历不存在的商品SKU；缓存空值失效 | 布隆过滤器（Bloom Filter）、缓存空值（短TTL）、参数校验、限流 |
实践要点：三个目标并非孤立存在。例如，缓存穿透如果未加防护，大量穿透请求会瞬间压垮数据库，进而引发雪崩；而重放攻击在穿透场景下会放大数据库压力。因此，穿透保护方案必须同时考虑这三者的联动效应。
1.3 在微服务中的重要性
微服务架构将单体应用拆分为多个独立部署的服务，服务间通过RPC或消息队列通信。这种架构在带来灵活性的同时，也引入了新的稳定性挑战：
- 调用链变长：一个用户请求可能跨越5~10个微服务，任何一个环节的穿透或雪崩都会波及整条链路。
- 依赖复杂：服务间存在网状依赖，单一服务的故障可能通过级联效应快速扩散。
- 流量不可预测：微服务实例的动态扩缩容、灰度发布、突发流量等场景，使得传统静态限流策略失效。
- 可观测性要求高：没有全局的链路追踪和指标监控，穿透保护策略的生效情况难以验证。
下图展示了穿透保护在微服务调用链中的典型部署位置与交互关系：
常见误区：很多团队只在API网关层部署限流和防重放，忽略了服务间调用链路上的穿透保护。当服务A调用服务B时，如果服务B没有自己的保护策略，一旦服务A出现异常流量，服务B仍然会被击穿。穿透保护必须“层层设防”，每个微服务都应具备自我保护能力。
1.4 穿透保护与可观测性的关系
穿透保护策略的生效情况需要可观测性系统来验证和度量。没有可观测性，保护策略就像“盲人摸象”——你无法知道限流是否生效、熔断是否触发、重放是否被拦截。下表列出了穿透保护各目标对应的关键可观测性指标：
| 保护目标 | 关键指标 | 观测手段 |
|---|---|---|
| 防雪崩 | 限流触发次数、熔断器状态变化次数、降级请求占比 | Prometheus + Grafana 指标监控 |
| 防重放 | 重复请求拦截率、Nonce冲突率、幂等校验失败次数 | 日志分析 + 链路追踪（Span Tag） |
| 防穿透 | 布隆过滤器误判率、缓存空值命中率、数据库穿透请求数 | 指标监控 + 链路追踪（Event） |