data sanitizer 的核心是预防而非修复，需前置到序列化层：通过 schema-aware 解析、protobuf 兼容性检查、结构指纹校验实现契约防护；线上启用宽容模式、熔断降级与修复 api；长期依赖编译期 schema diff、签名验证与灰度绑定。
大面积脏数据清洗器（Data Sanitizer）不是为“事后擦洗”设计的，它本质上不处理已损坏的缓存——而是让这类损坏在到达线上服务前就无法发生。
结构损坏缓存的本质是契约断裂
升级导致的缓存结构损坏，常见于以下场景：新版本服务写入了带新增字段或重命名字段的序列化数据（如 Protocol Buffer、JSON Schema v2），而旧版客户端或下游服务仍按旧结构读取；或数据库 schema 变更后，缓存中残留的旧 DTO 对象被反序列化失败，抛出 ClassCastException 或 MissingFieldException。这不是数据“脏”，而是跨版本语义契约的失效。
传统 Data Sanitizer 工具（如基于 Pandas 或 Spark 的清洗流水线）对此无能为力——它们运行在数据落地后，此时损坏已固化在 Redis/本地磁盘缓存中，清洗只能删或跳过，无法恢复语义一致性。
真正有效的做法：把 Sanitizer 前移到序列化边界
将 Data Sanitizer 集成进序列化/反序列化层，而非作为独立清洗步骤：
- 在 JSON 反序列化入口注入 Schema-aware 解析器：使用符合 OpenAPI 或 JSON Schema 的解析器（如 jsonschema + strict mode），自动拒绝缺失必填字段、类型不匹配或多余字段的数据；对可选字段启用默认值回填（非空填充），而非静默丢弃。
-
为 Protobuf 引入兼容性检查中间件：在 gRPC 或 Kafka 消费端，加载新旧 .proto 文件定义，用
protoc-gen-validate或自定义 Deserializer 包装类，在 decode 前校验 wire format 是否满足当前 runtime 的 message 兼容规则（如字段是否为 optional / oneof / deprecated）。 -
缓存键值对增加结构指纹：在写入 Redis 前，为 value 附加轻量级元数据头（如
{"ver":"2.1","schema_hash":"a7f3e9d"}），读取时比对当前服务支持的 schema_hash；不匹配则触发降级逻辑（如 fetch DB fresh、返回 406 Not Acceptable 或 fallback 到默认模板），而非尝试解析崩溃。
线上应急：用 Sanitizer 的“安全降级模式”快速止血
当结构损坏已扩散至生产缓存，且无法立即回滚时，启用 Data Sanitizer 的运行时降级策略：
-
启用字段宽容模式（Lenient Field Mode）：允许反序列化时忽略未知字段、将 null 字段转为默认值（如 int → 0, string → ""），但记录 WARN 日志并上报 metric（如
sanitizer.field_dropped_count{field="user_role", version="1.9"}）。 - 按错误率自动熔断缓存读取：监控反序列化失败率（如 Jackson JsonProcessingException 频次）。当 1 分钟内失败 >5%，自动切换为“直连源存储”路径，并触发异步任务扫描对应 key pattern 的缓存批量清理+重刷。
-
提供结构修复 API（仅限运维通道）：暴露内部 endpoint（如
POST /internal/cache/repair?keys=usr:1001,usr:1002），调用 Sanitizer 的 schema-migration 函数，将旧结构数据按映射规则转换为新结构（例如"role" → "permissions.role"），再写回缓存。该操作需幂等且带 dry-run 参数。
长期防护：用编译期约束替代运行时清洗
最根本的解决方式，是让结构损坏在编译或部署阶段就被拦截：
-
CI 中集成 schema diff 检查：每次 PR 提交新 .proto 或 OpenAPI 定义时，自动比对主干版本，禁止破坏性变更（如删除 required 字段、更改字段类型），除非显式标注
@breaking-change reason="..."并附迁移方案。 - 缓存写入强制签名验证：所有写入缓存的服务必须用私钥对 value + schema_hash 签名，读取端用公钥校验；签名失败即视为污染数据，直接丢弃并告警，不进入业务逻辑。
-
灰度发布绑定缓存生命周期：新版本上线时，自动为新写入缓存打上
version_tag=v2.1标签；旧版本服务读取时若发现 tag 不匹配，不报错，而是触发一次性的 on-demand migration，完成后更新 tag 并刷新 TTL。
