Spring Cloud: Sentinel - 服务雪崩解决方案

什么是雪崩问题

由于某一个服务的阻塞造成大量的线程堆积，从而耗尽服务器的线程资源，所以导致整个系统的所有功能都没法正常的使用。

常见的解决方案

• 超时处理

设定超时时间，请求超过一定时间没有响应就返回错误信息，不会无休止等待

• 线程隔离（仓壁模式）

限定每个业务能使用的线程数，避免耗尽整个tomcat的资源，因此也叫线程隔离

• 熔断器（断路器）

由断路器统计业务执行的异常比例，如果超出阈值则会熔断该业务，拦截访问该业务的一切请求, 当发现访问服务的请求异常比例过高, 或达到服务调用失败的指定比例时，认为服务有导致雪崩的风险，会拦截访问服务的一切请求，形成熔断

• 限流

限制业务访问的QPS，避免服务因流量的突增而故障。

小结

限流是对服务的保护，避免因瞬间高并发流量而导致服务故障，进而避免雪崩。是一种预防措施。
超时处理、线程隔离、降级熔断 是在部分服务故障时，将故障控制在一定范围，避免雪崩。是一种补救措施。

Hystrix与sentinel的区别

• sentinel使用信号量隔离， Hystrix使用线程池与信号量隔离
• sentinel支持慢调用，与异常比例的。 Hystrix只能失败比例
• sentinel支持关系限流， Hystrix支持关系限流没有那么丰富
• sentinel支持流量整型，Hystrix是不支持

Spring Cloud 整合 Sentinel

Pom.xml

<!--sentinel-->
<dependency>
    <groupId>com.alibaba.cloud</groupId> 
    <artifactId>spring-cloud-starter-alibaba-sentinel</artifactId>
</dependency>

yaml

server:
  port: 8088 # TomeCat服务端口
spring:
  cloud:
    sentinel:
      transport:
        dashboard: localhost:8090 # Sentinel配置中心地址

Sentinel配置中心使用

QPS限流

示例: 对订单服务限流

流控模式

直接模式

统计当前资源的请求, 触发阈值时对当前资源直接限流, 默认模式(流控模式)

关联模式

统计与当前资源相关的另一个资源，触发阈值时，对当前资源限流

配置规则

适用场景:
适用于关键业务与非关键业务竞争流量时。当支付订单请求和查询订单请求的QPS都很高时, 限制查询请求的流量, 优先支付请求执行

链路模式

统计从指定链路访问到本地资源的请求, 触发阈值时, 对指定链路限流

提示:
– sentinel只监控Controller层的请求, 若需要监控Service层, 则需要在被监控的方法上注明 @SentinelResource(“设定一个请求名称, 自定义”)

控流效果

快速失败

达到设定的阈值时, 新的请求会被立即拒绝并抛出FlowExcpetion异常, 这是默认的拒绝方式

warm up

预热模式, 对超出阈值的请求同样是拒绝并抛出异常, 这种模式阈值会动态变化, 从最小逐渐增加到最大

排队模式

让所有的请求进入一个队列中, 按照阈值允许的时间间隔依次执行。后来的请求必须等待前面执行完成, 如果请求预期的等待时间超出最大时长, 则会被拒绝

• 预期等待时长

热点数据限流

全局限流

设定指定请求的指定参数的每秒允许访问的次数, 超过设定阈值的请求直接失败

注意: 需要配合@SentinelResource\

例外热点限流

只能在热点规则处限制, 蔟点链路中只能设置全局热点限流

隔离降级

线程隔离

架构图: 线程隔离

作用

可以对远程调用的异常做处理，适用于微服务项目, 在发起远程调用后, 迟迟未收到响应, 这时直接响应友好的结果给客户端
Sentinel默认使用的是信号隔离, 若要使用线程隔离, 需要在配置管理页面, 流控模式使用线程数

Spring Cloud 整合Sentinel的隔离降级

启用隔离降级

需要在消费端的属性文件中配置: 开启feign的sentinel功能

feign:
  sentinel:
    enabled: true # 开启feign对sentinel的支持

定义服务调用失败后失败降级处理类

实现: FallbackFactory, 泛型为调用的服务对应的Feign接口. 在调用这个服务的接口时, 发生调用失败, 就会调用实现了FallbackFactory接口的类中的create方法, 响应给用户, 这个Feign接口需要新增 fallbackFactory属性, 指定失败降级的类

示例:

public class UserClientFallBackFactory implements FallbackFactory<UserClient> {
    @Override
    public UserClient create(Throwable throwable) {
        UserClient userClient = new UserClient() {
            @Override
            public User findById(Long id) {
                User user = new User();
                user.setUsername("服务器繁忙");
                return user;
            }
        };
        return userClient;
    }
}

// or(下方是Lambda表达式写法)

public class UserClientFallBackFactory implements FallbackFactory<UserClient> {
    @Override
    public UserClient create(Throwable throwable) {
        return id -> {
            User user = new User();
            user.setUsername("服务器繁忙");
            return user;
        };
    }
}

在Feign接口中, 在@FeignClient注解中添加 fallbackFactory属性, 值为服务调用失败时的失败降级处理类,也就是实现了 FallbackFacotry接口的类

定义配置类, 将服务调用失败后的失败降级处理类加入到

public class DefaultFeignConfiguration {
    
    @Bean
    public UserClientFallBackFactory userClientFallBackFactory(){
        return new UserClientFallBackFactory();
    }
}

将配置类添加到启动类中@EnableFeignClients注解的defaultConfiguration属性中

@SpringBootApplication
@EnableFeignClients(clients = UserClient.class,defaultConfiguration = DefaultFeignConfiguration.class)
public class OrderApplication {

    public static void main(String[] args) {
        SpringApplication.run(OrderApplication.class, args);
    }

    /**
     * 创建RestTemplate并注入Spring容器
     */
    @Bean
    @LoadBalanced
    public RestTemplate restTemplate() {
        return new RestTemplate();
    }
}

配置规则

执行结果

总结

降级隔离 与 信号隔离 的区别

• 优点
  – 信号隔离是轻量级的, 无额外开销, 不需要创建线程池
  – 线程隔离支持主动超时 与 异步调用, 调用的线程数超过设定的阈值后, 直接拒绝所有请求, 并调用本地feign接口, 返回相对友好的结果给客户端
• 缺点
  – 信号量隔离不支持主动超时 与 异步调用
  – 线程隔离开销相对与信号量隔离更大, 因为它需要额外对服务创建一个专用的线程池

熔断降级

熔断降级是解决雪崩问题的重要手段。是由断路器统计服务调用的异常比例 及 满请求比例, 若超出阈值则会熔断该服务。停止一切该服务的请求; 断路器会每隔一段时间检查服务是否恢复, 若恢复后, 会解除断路器, 放行对该服务的所有请求

熔断器的三个状态

关闭状态 (closed)

断路器会放行所有对该服务的请求, 并开始统计慢请求比例、异常比例, 达到设定的阈值后开启熔断器

打开状态(open)

熔断器会拦截所有对该服务的请求, 直接走降级逻辑, 达到设置的熔断阈值时间后进入半开状态

半开状态(half-open)

在半开状态中, 会每隔5秒放行一个请求, 若响应成功, 则放行所有对该服务的请求, 若响应失败, 熔断器继续开启, 再次循环这个过程。

熔断器的三种策略

慢调用比例

只要在1000ms内的5个请求中, 任意一个请求响应时长超过50ms时, 算一次调用失败, 只要失败比例超过5个请求的40%时, 就会触发熔断机制, 此时服务处于关闭状态, 之后每个5秒, 放行一个请求, 此时服务处于半开状态, 若在50ms内响应成功, 则服务状态更改为打开状态, 放行对该服务的所有请求, 若失败则继续处于关闭状态, 再次循环执行这个过程。

异常比例

统计最近1000ms内的请求，如果请求量超过10次，并且异常比例不低于0.4，则触发熔断

异常比例

统计最近1000ms内的请求，如果请求量超过10次，并且异常比例不低于2次，则触发熔断’

微服务访问授权

在网关微服务中添加请求头, 只要从gateway网关路由过来的所有请求都会带上origin请求头, 若没有这个请求头则会被拦截

基本规则

白名单

• 来源(origin)在白名单内的调用者均匀许访问
  黑名单
• 来源(origin)在白名单内的调用者均匀不许访问

配置规则

在Sentinel授权规则中新增新的授权规则

获取origin

需要实现的接口: RequestOriginParser, 通过RequestOriginParser这个接口的parseOrigin来获取请求的来源

在Gataway网关中添加请求头和值

请求头为origin, 值为gateway

代码编写

示例:

// 请求过来访问orderService的时候, 会先被解析是否带有origin的请求头, 并且值必须是gateway, 否则会被拦截
@Component
public class HeaderOriginParser implements RequestOriginParser {
    @Override
    public String parseOrigin(HttpServletRequest request) {
        // 1.获取请求头
        String origin = request.getHeader("origin");
        // 2.非空判断
        if (StringUtils.isEmpty(origin)) {
            origin = "blank";
        }
        return origin;
    }
}

执行结果

Sentinel自定义结果信息

可以根据被限流、熔断降级、授权拦截的情况, 返回指定的信息

实现方式

现BlockExceptionHandler接口

BlockExceptionHandler

public interface BlockExceptionHandler {
    /**
     * 处理请求被限流、降级、授权拦截时抛出的异常：BlockException
     */
    void handle(HttpServletRequest request, HttpServletResponse response, BlockException e) throws Exception;
}

参数解释

• HttpServletRequest request：request对象
• HttpServletResponse response：response对象
• BlockException e：被sentinel拦截时抛出的异常

BlockException包含子类

执行结果