【SpringCloud合集-04】Sentinel 流量控制与熔断降级 学习笔记

目录

一、核心定位与整体架构

1.1 什么是 Sentinel

1.2 Sentinel 与 Hystrix 核心对比

1.3 核心架构

二、Spring Cloud Alibaba 整合实战

2.1 基础整合三步法

第一步：引入依赖

第二步：配置控制台地址

第三步：启动类与基础使用

2.2 自定义资源与降级处理

2.3 流量控制实战

三种流控效果

2.4 熔断降级实战

三种熔断策略

2.5 OpenFeign 整合降级实战

第一步：开启 Feign 支持

第二步：定义降级实现类

第三步：Feign 接口指定降级类

三、核心执行流程与源码解析

3.1 完整调用链路图

3.2 核心入口 SphU.entry () 源码解析

3.3 核心插槽职责详解

3.4 滑动窗口统计原理

核心设计

3.5 熔断状态机原理

四、高级特性与生产配置

4.1 热点参数限流

4.2 系统自适应保护

4.3 规则持久化

三种持久化模式

生产推荐：Nacos 推模式整合

4.4 授权规则与黑白名单

五、实战踩坑与最佳实践

5.1 高频踩坑点

5.2 最佳实践

六、面试速记总结

---

基于 Spring Cloud Alibaba 2.2.x + Sentinel 1.8.x 源码学习

一、核心定位与整体架构

1.1 什么是 Sentinel

Sentinel 是阿里巴巴开源的流量控制与熔断降级组件，面向分布式服务架构，以流量为切入点，从流量控制、熔断降级、系统自适应保护等多个维度保障服务的稳定性。它是 Spring Cloud Alibaba 生态的核心容错组件，全面替代了已停止维护的 Netflix Hystrix。

核心定位：在高并发、高可用的分布式系统中，当系统出现流量突增、下游服务故障、资源不足等情况时，通过限流、降级、熔断等手段，保证当前服务不被打垮，避免故障在链路中逐级扩散，防止雪崩效应。

三大核心能力：

• 流量控制：控制接口的请求速率（QPS / 线程数），将随机流量调整为平滑形状，保护系统不被突发流量冲垮
• 熔断降级：当下游服务出现慢调用、高异常时，暂时切断对该服务的调用，快速失败，避免拖垮当前服务
• 系统自适应保护：从系统整体维度出发，结合负载、CPU、响应时间等指标，自动调整入口流量，让系统运行在最大吞吐量的安全水位

1.2 Sentinel 与 Hystrix 核心对比

对比维度	Sentinel	Netflix Hystrix
维护状态	阿里开源，社区活跃，持续迭代	Netflix 官方已停止维护，进入休眠期
隔离策略	信号量隔离（默认）、支持线程池隔离	线程池隔离（默认）、信号量隔离
流量控制	支持 QPS、线程数、热点、系统保护等多种限流规则	无原生限流能力，仅做熔断降级
熔断策略	慢调用比例、异常比例、异常数 三种策略	仅异常比例一种熔断策略
滑动窗口	高性能滑动窗口（LeapArray），毫秒级精度	滑动窗口实现较重，精度较低
控制台	提供可视化控制台，支持动态规则配置、监控、链路查询	仅提供基础监控面板，配置需代码硬编码
扩展性	插槽责任链设计，扩展灵活	扩展性一般

考点：Hystrix 核心思想是「线程池隔离」，通过不同服务用不同线程池实现故障隔离，但线程切换开销大；Sentinel 主打「轻量信号量隔离 + 全方位流量控制」，性能损耗更低，功能更全面，是目前国内微服务架构的主流选型。

1.3 核心架构

核心设计思想：

• 资源：Sentinel 的核心概念，一切需要保护的东西都可以定义为资源（接口、方法、代码块）
• 规则：围绕资源配置的管控规则，包括流控规则、降级规则、系统规则等
• 插槽责任链：所有校验逻辑通过 ProcessorSlot 插槽串联成责任链，按顺序执行，新增功能只需加新插槽，扩展性极强
• 滑动窗口：底层用高性能滑动窗口统计实时指标，所有规则判断都基于统计数据

二、Spring Cloud Alibaba 整合实战

2.1 基础整合三步法

第一步：引入依赖

<dependency> <groupId>com.alibaba.cloud</groupId> <artifactId>spring-cloud-starter-alibaba-sentinel</artifactId> </dependency>

第二步：配置控制台地址

spring: cloud: sentinel: transport: dashboard: 127.0.0.1:8080 # Sentinel控制台地址 port: 8719 # 客户端与控制台通信端口，默认8719，冲突自动递增 eager: true # 开启饥饿加载，项目启动立即初始化Sentinel，无需等第一次请求 web-context-unify: false # 关闭上下文统一，按URL区分不同资源链路

第三步：启动类与基础使用

Sentinel 对 Spring MVC 接口做了自动埋点，所有 Controller 接口默认都是受保护的资源，资源名就是请求路径。无需额外代码，启动后即可在控制台配置流控规则。

2.2 自定义资源与降级处理

通过@SentinelResource注解可以自定义资源名，并指定限流、降级的兜底处理方法，粒度更细。

@Service public class OrderService { /** * @SentinelResource 标记受保护的资源 * value = 资源名，控制台按此名称配置规则 * blockHandler = 限流/系统保护触发时的兜底方法 * fallback = 业务异常/熔断触发时的兜底方法 */ @SentinelResource( value = "createOrder", blockHandler = "createOrderBlockHandler", fallback = "createOrderFallback" ) public String createOrder(Long userId, Long goodsId) { // 业务逻辑：创建订单 return "订单创建成功"; } /** * 限流兜底方法：触发流控/熔断/系统保护时调用 * 方法签名必须和原方法一致，最后多一个BlockException参数 */ public String createOrderBlockHandler(Long userId, Long goodsId, BlockException ex) { return "系统繁忙，请稍后再试"; } /** * 业务异常兜底方法：原方法抛出业务异常时调用 * 方法签名必须和原方法一致，最后多一个Throwable参数 */ public String createOrderFallback(Long userId, Long goodsId, Throwable e) { return "订单创建失败，服务降级"; } }

关键区别说明：

• blockHandler：处理 Sentinel 规则校验失败的异常（限流、熔断、系统保护），对应BlockException
• fallback：处理业务代码本身抛出的异常，也包含熔断后的异常，对应Throwable
• 两者同时配置时，触发限流走 blockHandler，触发业务异常走 fallback，职责分离

2.3 流量控制实战

流量控制是 Sentinel 最核心的能力，通过配置规则限制资源的访问速率。

核心规则参数

参数	说明
资源名	受保护的资源标识，对应 @SentinelResource 的 value
阈值类型	QPS 模式：每秒请求数；线程数模式：并发线程数
单机阈值	限流的临界值，超过则触发限流
流控模式	直接限流、关联限流、链路限流
流控效果	快速失败、Warm Up 预热、排队等待

三种流控效果

1. 快速失败：默认模式，超过阈值直接抛出异常，适合对延迟不敏感、拒绝服务优先的场景
2. Warm Up 预热：冷启动模式，阈值从低到高缓慢上升到设定值，适合秒杀等流量突增场景，避免瞬间把系统压垮
3. 排队等待：匀速通过模式，请求排队依次通过，超过超时时间则失败，适合消息队列、任务处理等场景，把突刺流量整形为平滑流量

2.4 熔断降级实战

熔断降级用于保护下游依赖，当下游服务出现故障时，暂时切断调用，快速失败，避免拖垮当前服务。

三种熔断策略

1. 慢调用比例：当单位时间内慢调用（响应时间超过设定阈值）占比达到阈值，触发熔断；适合防范下游慢响应拖垮本地线程
2. 异常比例：当单位时间内异常调用占比达到阈值，触发熔断；适合下游大面积报错的场景
3. 异常数：当单位时间内异常次数达到阈值，触发熔断；适合低流量场景的异常判断

熔断后会进入熔断打开状态，所有请求直接降级；经过设定的熔断时长后，进入半开状态，放行一个探测请求，如果成功则关闭熔断恢复正常，如果失败则继续保持熔断。

2.5 OpenFeign 整合降级实战

Sentinel 原生适配 OpenFeign，开启后可以对 Feign 接口做熔断降级。

还有针对RestTemplate的配置，使拥有熔断降级的功能，因为用的少就不加入了，后续需要使用看下相关文档就可，也容易配置。

第一步：开启 Feign 支持

feign: sentinel: enabled: true # 开启Sentinel对Feign的支持

第二步：定义降级实现类

@Component public class UserFeignClientFallback implements UserFeignClient { @Override public User getUserById(Long userId) { // 熔断/限流时的降级逻辑 User user = new User(); user.setId(userId); user.setNickname("用户服务暂不可用"); return user; } }

第三步：Feign 接口指定降级类

@FeignClient(value = "user-service", fallback = UserFeignClientFallback.class) public interface UserFeignClient { @GetMapping("/user/{id}") User getUserById(@PathVariable("id") Long userId); }

触发逻辑：当 user-service 调用超时、异常、达到熔断阈值时，自动走降级实现类返回兜底数据，不会抛出异常，保证主链路可用。

三、核心执行流程与源码解析

3.1 完整调用链路图

3.2 核心入口 SphU.entry () 源码解析

所有 Sentinel 限流逻辑的触发入口都是SphU.entry()，注解和自动埋点最终都会调用这个方法。

// com.alibaba.csp.sentinel.SphU public static Entry entry(String name) throws BlockException { // 委托给CtSph执行 return Env.sph.entry(name, EntryType.OUT, 1, OBJECTS0); }

核心实现类CtSph的执行逻辑：

@Override public Entry entry(String name, EntryType type, int count, Object... args) throws BlockException { // 1. 获取资源对应的插槽责任链 ProcessorSlot<Object> chain = lookProcessChain(resourceWrapper); if (chain == null) { return new CtEntry(resourceWrapper, null, context); } Entry e = new CtEntry(resourceWrapper, chain, context); try { // 2. 依次执行责任链所有插槽的entry方法 chain.entry(context, resourceWrapper, null, count, prioritized, args); } catch (BlockException e1) { // 3. 规则校验不通过，退出并抛出异常 e.exit(count, args); throw e1; } return e; }

设计解析：

• 采用责任链模式，所有校验逻辑解耦到独立的 Slot 中，按顺序执行，新增功能只需新增 Slot 插入链中，完全符合开闭原则
• 每个资源对应一条独立的责任链，第一次访问时构建，后续复用，缓存到内存中
• 业务代码执行完成后必须调用entry.exit()，更新统计数据，否则会导致统计异常

3.3 核心插槽职责详解

按执行顺序排列，每个插槽各司其职：

插槽	职责
NodeSelectorSlot	构建调用链路树，维护资源的调用路径，区分不同上下文的同资源调用
ClusterBuilderSlot	构建集群维度的统计节点，关联资源的全局统计数据
StatisticSlot	核心统计槽，记录请求通过、阻塞、异常、响应时间等实时指标，是所有规则判断的数据基础
FlowSlot	流量控制槽，根据流控规则校验当前请求是否通过，超限则抛出异常
DegradeSlot	熔断降级槽，根据熔断规则判断服务状态，熔断状态下直接拒绝
SystemSlot	系统保护槽，从系统整体维度校验，超过系统阈值则拒绝入口流量

源码考点：插槽的顺序是固定的，统计槽在规则槽前面，保证先记录数据再做判断；退出时按逆序执行 exit 方法，更新统计结果。

3.4 滑动窗口统计原理

所有限流、熔断规则的判断都依赖实时统计数据，Sentinel 采用高性能滑动窗口（LeapArray）实现毫秒级的指标统计。

核心设计

• 将时间划分为多个等长的窗口（bucket），每个窗口记录该时间段内的指标（通过数、异常数、总耗时等）
• 窗口随时间滑动，过期的窗口会被重置复用，避免频繁创建对象
• 采用数组存储窗口，环形数组结构，通过时间戳取模定位当前窗口，时间复杂度 O (1)

// LeapArray核心结构 public abstract class LeapArray<T> { protected int windowLengthInMs; // 单个窗口时长，毫秒 protected int sampleCount; // 窗口总数 // 因为时间无限，但内存有限，所以数据存满后，新数据会覆盖最旧的数据。 protected final AtomicReferenceArray<WindowWrap<T>> array; // 环形窗口数组 // 根据时间戳定位当前窗口 protected WindowWrap<T> currentWindow(long timeMillis) { // 计算当前时间对应的窗口索引 int idx = calculateWindowIdx(timeMillis); // 计算窗口开始时间 long windowStart = calculateWindowStart(timeMillis); // CAS方式更新窗口，过期则重置 while (true) { WindowWrap<T> old = array.get(idx); if (old == null) { // 创建新窗口 } else if (windowStart == old.windowStart()) { return old; } else if (windowStart > old.windowStart()) { // 窗口过期，重置复用 if (old.updateStart(windowStart)) { resetWindow(old); return old; } } } } }

性能优势：

• 无锁设计，通过 CAS 更新窗口，高并发下性能优异
• 窗口复用，内存占用固定，不会随时间增长
• 统计精度高，默认 1 秒划分为 2 个窗口，精度 500ms，可自定义调整

3.5 熔断状态机原理

Sentinel 熔断采用经典的三态状态机设计，比 Hystrix 更精细。

1. 关闭状态（Closed）：正常状态，所有请求正常通过，持续统计慢调用 / 异常比例
2. 打开状态（Open）：达到熔断阈值后触发，所有请求直接快速失败，不调用下游
3. 半开状态（Half-Open）：熔断持续设定时长后，进入半开状态，放行一个探测请求
   • 探测请求成功：熔断关闭，恢复正常
   • 探测请求失败：重新进入打开状态，重新计时

源码中由CircuitBreaker接口定义，默认实现ResponseTimeCircuitBreaker、ExceptionCircuitBreaker，核心判断逻辑在tryPass方法中：

@Override public boolean tryPass() { if (currentState.get() == State.CLOSED) { return true; } if (currentState.get() == State.OPEN) { // 判断熔断时长是否到期，到期则转为半开 if (retireTime() <= TimeUtil.currentTimeMillis()) { if (currentState.compareAndSet(State.OPEN, State.HALF_OPEN)) { return true; // 放行一个探测请求 } } return false; } // 半开状态下只放行第一个请求，后续都拒绝 return false; }

四、高级特性与生产配置

4.1 热点参数限流

普通限流是针对整个资源的整体限流，热点参数限流可以针对具体参数值做更细粒度的控制，比如秒杀场景下限制单个商品 ID 的访问频率。

使用方式：

@SentinelResource("getGoodsDetail") @HotResource(paramIdx = 0) // 标记第0个参数为热点参数 public Goods getGoodsDetail(Long goodsId) { return goodsMapper.selectById(goodsId); }

控制台可以配置针对 goodsId 参数的限流阈值，比如单个商品 ID 每秒最多访问 100 次，防止热点商品打垮系统。

注意：仅支持基本类型和 String 类型参数，不支持复杂对象；底层用 LRU 缓存统计热点参数，性能优异。

4.2 系统自适应保护

从系统整体维度进行流量控制，防止入口流量过大导致系统崩溃，支持五个维度的阈值：

• Load 自适应：系统负载超过阈值时限流，仅 Linux 生效
• CPU 使用率：CPU 使用率超过阈值时限流
• 平均响应时间：所有入口流量的平均响应时间超过阈值时限流
• 并发线程数：所有入口流量的并发线程数超过阈值时限流
• 入口 QPS：所有入口流量的总 QPS 超过阈值时限流

核心价值：不用逐个接口配置限流，从系统水位层面做兜底保护，适合做整体的安全防线。

4.3 规则持久化

默认情况下，控制台配置的规则只存在客户端内存中，应用重启就会丢失，生产环境必须做规则持久化。

三种持久化模式

模式	原理	优点	缺点
原始模式	控制台推送规则到客户端内存	简单，开箱即用	重启丢失，不能持久化
拉模式	客户端定时从文件 / Nacos 拉取规则	简单，依赖少	实时性差，有延迟
推模式	控制台将规则推送到 Nacos，客户端监听 Nacos 实时更新	实时性高，持久化可靠，生产推荐	需要改造控制台，配置稍复杂

生产推荐：Nacos 推模式整合

1.引入依赖

<dependency> <groupId>com.alibaba.csp</groupId> <artifactId>sentinel-datasource-nacos</artifactId> </dependency>

2.配置数据源

spring: cloud: sentinel: datasource: flow: nacos: server-addr: 127.0.0.1:8848 dataId: sentinel-flow-rules groupId: DEFAULT_GROUP rule-type: flow # 流控规则

规则存储在 Nacos 中，修改 Nacos 配置即可实时更新，应用重启也不会丢失，是生产环境的好方案。

4.4 授权规则与黑白名单

通过RequestOriginParser解析调用方来源，配置黑白名单，控制哪些调用方可以访问资源，适合网关层、内部服务间的权限控制。

@Component public class CustomOriginParser implements RequestOriginParser { @Override public String parseOrigin(HttpServletRequest request) { // 从请求头中获取调用方标识 return request.getHeader("service-name"); } }

控制台配置授权规则，指定白名单或黑名单即可。

五、实战踩坑与最佳实践

5.1 高频踩坑点

1. @SentinelResource 降级方法不生效原因：降级方法必须和原方法在同一个类中（不加xxxClass属性时），且方法签名必须完全一致，最后多一个异常参数；方法必须是 public，且不能是静态方法。 解决：严格匹配方法签名，异常类型对应准确，blockHandler 对应 BlockException，fallback 对应 Throwable（业务异常也兜底）。

2. 异步调用统计异常原因：异步线程中执行业务代码，Sentinel 的 entry 在主线程就退出了，统计不到异步执行的结果和异常。@SentinelResource是基于线程上下文（ContextUtil.enter()）绑定的。主线程调用entry后立即返回，异步线程执行时，主线程的Context已经退出了。 解决：手动在异步线程内调用 SphU.entry () 和 exit ()，或者使用支持异步的注解版本。在异步任务中，必须使用SphU.asyncEntry(resourceName)获得AsyncEntry，并在异步回调的finally中调用entry.exit()，这样才能正确统计异步执行的 RT 和异常。

3. Feign 降级不生效原因：没有开启feign.sentinel.enabled=true；降级类没有加 @Component 注解；降级类没有正确实现 Feign 接口。 解决：逐项检查配置，确保降级类被 Spring 容器管理。

4. 规则配置后不生效原因：资源名不匹配，比如注解自定义了资源名，但控制台按 URL 配置了规则；或者客户端没有正确连接控制台。 解决：核对资源名，查看控制台簇点链路是否出现对应资源，确认客户端心跳正常。

5. 流控阈值不准原因：滑动窗口有精度误差，窗口切换瞬间可能有短暂超阈值；或者并发极高时，CAS 统计有微小误差。 解决：阈值设置留一定余量，不要卡着极限配置，这是所有滑动窗口限流的共性问题，属于正常现象。

5.2 最佳实践

• 分层限流：网关层做总入口限流，服务层做接口级限流，核心方法做方法级限流，多层防护
• 降级兜底：所有核心外部依赖都配置熔断降级，兜底逻辑要轻量，不能再调用外部依赖
• 规则持久化：生产环境必须使用 Nacos 等持久化数据源，禁止依赖内存规则
• 监控告警：对接监控系统，监控限流次数、熔断次数、异常率，设置告警阈值
• 参数校验：限流是最后一道防线，前置要做好参数校验、缓存、降级，不能单纯依赖限流
• 压测验证：上线前通过压测验证限流阈值是否准确，降级逻辑是否正常，避免线上出问题

---

六、面试速记总结

1. 核心定位：Sentinel 是阿里开源的流量控制与熔断降级组件，替代 Hystrix，以流量为切入点，保障分布式系统稳定性。
2. 三大核心能力：流量控制（QPS / 线程数、三种流控效果）、熔断降级（三种策略、三态状态机）、系统自适应保护。
3. 核心设计：插槽责任链模式，按顺序执行节点构建、统计、限流、熔断、系统保护校验，扩展性极强。
4. 统计原理：基于高性能滑动窗口 LeapArray，环形数组 + CAS 无锁更新，毫秒级精度，高并发性能优异。
5. 熔断原理：关闭→打开→半开三态状态机，熔断时长到期后放行探测请求，成功则恢复，失败则继续熔断。
6. 生产配置：控制台做规则管理，Nacos 做规则持久化推模式，分层限流 + 熔断降级 + 系统保护三道防线。
7. 与 Hystrix 区别：Sentinel 轻量信号量隔离，限流功能完善，控制台强大，社区活跃；Hystrix 线程池隔离，仅熔断，已停止维护。