如何验收跨市场代理故障转移，避免地域数据被污染
代理故障转移即使恢复了 TCP 连接，也可能破坏数据集。如果面向美国的采集任务悄悄改用欧洲出口，页面语言、货币、同意流程、库存或广告都可能变化。切换后继续复用 Cookie，又可能出现网络位置已经改变、页面市场仍未改变的矛盾。无节制重试还会制造重复记录，把小故障放大成昂贵流量峰值。
因此，验收目标不能只是“请求重新成功”。合格的故障转移应在所需市场内恢复；身份变化时隔离状态；遵守目标站点的退避提示；并尽可能保证业务处理不重复。
仅在你有权访问的目标、账号和代理容量上执行测试。
划分故障域
分别观察以下层级：
- 出口： 某个公网 IP 不再响应，或不再属于要求的地域。
- 网关： 代理主机名或入口端口不可用。
- 供应商区域： 同一市场内多个网关同时异常。
- 客户端： DNS、TLS、认证、连接池或本地网络造成伪代理故障。
- 目标站点： 目标返回限流或临时错误，而代理本身健康。
不要通过直接杀死整个任务来覆盖所有场景。每次只注入一种故障，才能知道真正失败的是哪一层。
测试前写清路由策略
为每类任务规定明确顺序。常见默认策略是：
- 在同一网关和所需市场内更换出口；
- 切换到同一市场的备用网关；
- 只有第二供应商能证明同一市场时才切换供应商；
- 所需市场不可用时停止并隔离任务；
- 只有业务明确允许时才使用其他市场。
本地化采集、广告验证、价格监控和市场研究通常应“失败即关闭”。对这些任务来说，“任何健康国家”并不是安全后备方案。
记录允许的国家、可选州/城市、可接受 ASN 类型、会话时长和最大恢复时间。使用住宅代理地域验证指南核对真实出口，不要只相信请求标签。
建立相互独立的健康证据
分别探测代理网关和受控目标。网关连接成功只能证明入口接受连接，不能证明所需市场存在可用出口。
如果生产客户端分布在不同区域，应从多个客户端区域进行低频探测，并要求多次观测一致后才宣布市场不可用。单个远程探针也可能被自身网络路径、DNS 或防火墙影响。
每次探测记录：UTC 时间、客户端区域、请求市场、观测到的出口国家、网关、供应商、匿名会话标识、DNS/TCP/TLS/首字节耗时、HTTP 状态、有限响应指纹、重试次数和所选切换层级。不要记录代理密码、完整 Cookie 或个人数据。
路由变化时隔离状态
更换出口就是身份边界。创建新的代理会话标签；浏览器任务还要新建上下文。除非流程有明确保留理由，否则清理目标 Cookie、本地存储、Service Worker 和缓存。
同时禁止 HTTP 连接池复用旧路由建立的隧道。可先用住宅代理会话粘性测试区分真实会话变化和连接复用。
业务状态应保存在浏览器外部，包括任务 ID、预期市场、尝试代数、负载校验值和处理状态。这样既能拒绝旧路由迟到的响应，也不会丢失任务。
使用有限触发器和滞回机制
不要因为一次慢响应就切换供应商。可采用如下规则：
- 60 秒内出现三次相互独立的连接失败才切换；
- 至少两个探针同意所需市场不可用；
- 等待至少五分钟再测试失败层级；
- 连续多次健康后逐步恢复流量。
滞回机制能防止两个路由之间频繁摆动。断路器应按市场和故障域分别维护，而不是一个全局开关关闭所有健康区域。
执行受控故障矩阵
先用小规模非生产样本，速率始终低于目标和代理限制。
场景一：单出口失效
让一个测试会话过期或阻断其出口。确认新出口仍在同一市场、状态已重置，并且只恢复未完成任务。
场景二：网关失效
使主测试网关不可达。确认备用网关建立全新连接，不继承旧会话或隧道。
场景三：市场资源不足
模拟所需市场没有可用出口。除非明确允许跨市场切换，否则任务应停止或进入隔离队列。
场景四：目标站点退避
让受控端点返回临时 503 或 429。如果存在 Retry-After，应把它视为等待时间提示，不能把目标错误误判成代理市场故障。
场景五：部分慢故障
注入延迟、间歇 TLS 重置或一部分不健康出口。确认基于分位数的健康规则能识别退化，又不会让所有客户端同时重试。
场景六：客户端故障
注入错误的本地 DNS 结果、过期测试凭据或证书链故障。确认客户端不会为任何代理都无法修复的问题轮换所有市场。
强制执行重试预算
限制单任务最大尝试次数以及整个工作池的最大重试速率。使用带随机抖动的指数退避，避免工作进程同步爆发。认证、策略和请求格式等永久错误不得反复重试。
每个可重试业务动作都要有幂等键或确定性任务键。在确认队列项之前保存响应校验值和完成标记。如果废弃路由返回迟到响应，当其尝试代数不再等于当前任务时直接拒绝。
并发能力请单独参考代理并发饱和测试；容灾演练不应意外变成压力测试。
不只验证 IP，还要验证业务输出
每次切换后比较：真实出口国家/区域/ASN 类型，页面语言、货币和同意流程，符合市场预期的库存或广告素材，响应结构和必填字段，重复/缺失/冲突记录，以及可能覆盖 IP 地理位置的 Cookie 或地区参数。
IP 国家正确但页面市场错误，对地域敏感数据仍然是恢复失败。
设置量化验收阈值
至少按市场和切换层级报告：恢复时间目标及 p95、同市场正确恢复率、误切换和路由抖动率、重复与无效负载率、总尝试次数除以原始任务数得到的重试放大倍数、放弃任务与迟到响应率、每条有效记录的带宽和成本。
示例门槛可以是：99% 的任务在 90 秒内同市场恢复；未经授权的跨市场切换为零；重复处理低于 0.1%；重试放大低于 1.2。最终阈值必须来自业务的法律、商业和数据质量要求，不能照抄示例。
发布与回滚检查清单
- [ ] 已记录必需和禁止的后备市场。
- [ ] 健康探针能区分网关、出口、目标和客户端故障。
- [ ] 市场级切换需要多次独立观测。
- [ ] 身份变化后创建新会话和干净浏览器状态。
- [ ] 已实施重试预算、退避和随机抖动。
- [ ] 任务包含幂等键，并拒绝迟到响应。
- [ ] 同时验证真实地域和业务输出。
- [ ] 断路器按市场和故障域隔离。
- [ ] 已演练手动停止与同市场回滚。
- [ ] 日志不含凭据、Cookie 和个人数据。
常见问题
市场无出口时，是否应自动切换国家？
只有流程明确允许时才可以。广告验证、本地价格和区域研究通常宁可暂停，也不应采集看似合理但属于错误市场的数据。
切换后 IP 检查成功就够了吗？
不够。还要验证语言、货币、同意流程、结构和任务身份。IP 改变后，Cookie 与应用设置仍可能保留旧地区。
多少次失败才应该切换？
没有统一数字。应在限定时间窗内使用多个独立观测，再根据误切换率和恢复时间调整。
浏览器会话能否跨代理切换继续使用？
技术上有时可行，但会混合身份和网络状态。出口或市场变化时，新建上下文是更安全的默认选择。
合规说明
代理故障转移仅应用于合法、获授权的业务。遵守目标条款、速率限制、适用的 robots 指令、隐私义务和跨区域数据传输要求。不得利用市场切换绕过访问控制、执法或同意要求。
