如何测试代理客户端熔断器，又不误停健康市场
熔断器可以阻止代理任务在持续超时中制造重试风暴，但范围设计错误时，一个城市的库存不足也可能让所有市场停摆。控制只有在故障分类、作用范围和恢复逻辑与业务一致时才有价值。
本指南验证四件事：持续故障达到门槛后进入 open；open 期间快速拒绝；half-open 只放行少量探针；只有业务结果真正恢复才回到 closed。目的不是规避目标站点控制，而是减少浪费、保护健康流量并让故障可观察。
先定义熔断器保护的失败域
不要从一个全局计数器开始。熔断键可以组合供应商或网关、国家/地区/城市池、目标主机、凭据范围和请求操作类型。一个城市的问题不应关闭健康国家；但为每个轮换 IP 建立独立熔断器，也会掩盖供应商级故障。应选择最窄且稳定的运营边界，并在上层聚合观察。
先分类，再计入失败
| 结果 | 典型处理 |
|---|---|
| 连接超时、重置、网关 5xx | 计入对应网关或地址池熔断器 |
| 代理认证 407 | 停止并修复凭据/配置；轮换不能解决 |
| 目标 429 与 Retry-After | 遵守等待时间，不得轮换绕过 |
| 请求本身导致的目标 4xx | 返回调用方，通常不是代理健康问题 |
| 目标 5xx | 与代理健康分开，除非路径证据充分 |
| HTTP 200 但内容为拦截页或错误版本 | 记为无效业务结果，不能算成功 |
| 指定地区无库存 | 记录地址池容量，仅允许明确配置的降级 |
传输成功不等于有效结果，目标拒绝也不等于代理故障。应分别保留代理状态、目标状态、耗时和内容验收结果。
验证 closed、open 与 half-open
Closed 状态放行正常请求，并在时间窗口或计数窗口内统计符合条件的失败。最小样本数与阈值必须同时满足，避免一次偶发超时关闭低流量市场。
Open 状态应在建立连接或产生代理费用前快速拒绝。把数千任务堆在 open 熔断器后面，只是把故障转移成内存和延迟问题。错误需包含熔断键、状态和下一次探针时间，但不能泄露凭据。
Half-open 只允许固定数量的探针。恢复中的网关如果瞬间承受全部积压，可能再次失败。只有探针满足正常业务的内容与位置验收时才关闭；任何符合条件的探针失败都应重新打开，并在有界策略内延长冷却。
建立测试矩阵
只使用自己拥有或明确获准测试的代理端点和目标。准备以下确定性场景：健康内容、连接拒绝/重置、超过超时的延迟、407、带重试指示的 429、目标 5xx、HTTP 200 但内容无效、指定地区无库存，以及故障窗口后的恢复。
每个场景同时测试受影响市场与健康对照市场，固定并发、超时、会话策略和请求量。记录状态变化、放行、快速拒绝、排队、重试、恢复探针、有效结果和总流量。
使用代理超时预算指南确保单次尝试不会超出总任务期限，并结合重试放大控制避免多层重试相乘。
验证故障隔离
受影响熔断器打开时，健康市场应继续达到延迟与成功率目标，同时确认：
- 失败请求绝不静默直连；
- 地理选择器不会暗中扩大；
- 凭据和会话不会泄漏到降级路由；
- 队列保持有界；
- 监控能区分快速熔断拒绝与网络失败。
如果允许备用供应商或地区，应将其视为独立路由，并重新验证位置、会话、内容和成本。完整路由切换可参考代理故障转移演练。
用接近生产的证据调参
最小样本数、失败/慢调用阈值和 open 时长相互影响。低阈值反应快但容易波动；大窗口更稳定却会在打开前浪费请求；冷却过长延迟恢复，过短则会用探针再次压垮依赖。
用重放的时延分布或受控负载测试调参，测量失败率、慢调用率、p50/p95/p99、open 期间避免的请求、健康对照的误开次数、稳定恢复时间、探针量、队列深度和每单位成本的有效业务结果。
探针必须相互独立且有意义。通过同一复用连接连续完成十次缓存健康检查，并不能证明新会话、地区选择和目标内容已经恢复。
让重试理解熔断状态
只有安全且总预算允许时才重试瞬时故障，并使用有界指数退避和抖动。熔断器已经 open 时，重试层必须立即停止，不能循环接收相同的快速拒绝。
遵守 Retry-After 等目标指示，不得靠轮换出口规避限速或访问控制。非幂等操作没有可靠幂等机制时不要重试。底层连接熔断器看不到“200 但内容错误”，应用熔断器又可能看不到 TCP 饱和；应分开收集信号，再由明确策略决定影响哪个失败域。
验收清单
- 熔断键对应真实供应商、地址池、市场和目标失败域。
- 故障分类明确，不把所有 4xx、5xx 与超时混为一谈。
- 最小样本可防止一次错误打开低流量熔断器。
- open 在连接和计费前快速拒绝。
- 队列、重试和内存有界。
- half-open 只放行少量有业务意义的探针。
- 局部故障不会影响健康市场。
- 直连绕过与静默扩大地区不可能发生。
- 备用路由重新验证位置、内容、会话和成本。
- 状态变化、原因码与下一探针时间可观察。
- 人工覆盖有审计且自动过期。
- 只有业务有效结果才能关闭熔断器。
常见问题
429 应该打开代理熔断器吗？
通常应触发目标专属限速策略并遵守 Retry-After，而不是把代理池标记为故障。不得轮换代理绕过限制。
每个出口都要独立熔断吗？
通常不需要。轮换池中的单 IP 状态不稳定，还可能掩盖共享故障。应按稳定运营失败域建键，同时保留出口级诊断证据。
健康检查能直接关闭熔断器吗？
它可以辅助恢复，但未必证明真实业务、位置选择、会话和内容有效。授权与成本允许时，应使用少量接近真实业务的探针。
只有一个城市没库存怎么办？
只打开或限制该城市池，不要关闭整个供应商。明确失败，或仅使用已获批准并清楚标记的更宽定位。
合规说明
只测试自己拥有或获准访问的基础设施与目标，遵守供应商合同、站点条款、速率限制、robots 指引、隐私义务和当地法律。熔断器应降低负载、限制故障范围，不能用于规避控制、掩饰违规自动化或在目标发出停止信号后继续请求。
