鉴权服务必须高可用，需从注册发现、连接容错、降级兜底、多活部署四层面保障；注册须带健康检查与主动心跳，用lease绑定ttl并定期续租，健康接口须真实探测redis连通性、jwt公钥加载及签名耗时。
鉴权服务本身必须是高可用的——它一旦挂掉，整个微服务集群就失去访问控制能力，等同于裸奔。不能靠“它很少出问题”来赌，而要从注册发现、连接容错、降级兜底、多活部署四个层面做刚性保障。
鉴权服务注册必须带健康检查 + 主动心跳
很多团队把鉴权服务注册进 Consul/Etcd 后就不管了，结果 GC STW 过长或 goroutine 饿死时，注册中心仍认为它“UP”，流量照常打进来，但校验逻辑卡住，下游全部 504。
- 注册时必须用
Lease绑定 TTL（如 15s），并起独立 goroutine 每 5–8 秒调用clientv3.KeepAlive或consul.AgentPassTTL续租 - 健康检查接口（如
/auth/health/ready）不能只返回{"ok": true}，要真实探测 Redis 缓存连通性、JWT 公钥加载状态、本地签名验证耗时是否 - 别把网关层的
/health直接复用给注册中心探测——它可能通，但鉴权专用依赖已断
客户端调用鉴权服务必须配熔断 + 重试 + 超时三级控制
网关或业务服务调用鉴权服务时，若用默认 http.Client 或 gRPC grpc.Dial()，一次网络抖动就会让所有请求堆积，继而拖垮整条链路。
- 超时必须分层：gRPC 调用设
context.WithTimeout(ctx, 300 * time.Millisecond)，底层http.Transport的ResponseHeaderTimeout设为 200ms，避免 TCP 建连卡死 - 重试仅对
codes.Unavailable和codes.DeadlineExceeded生效，且用指数退避（100ms → 200ms → 400ms），最多 2 次；codes.PermissionDenied这类业务错误绝对不重试 - 熔断器用
sony/gobreaker，MaxRequests: 5+Timeout: 10 * time.Second是安全起点；注意包装 gRPC 错误，确保cb.Execute()返回的 error 是gobreaker.ErrOpenState
鉴权服务自身要支持本地缓存降级 + 熔断后 fallback
当 Redis 或下游认证中心（如 Keycloak）不可用时，鉴权服务不能直接返回 500，而应启用降级策略，否则整个系统停摆。
- JWT 公钥和常用角色权限映射必须本地内存缓存（
sync.Map），TTL 设为 5 分钟；更新时用LoadOrStore原子替换，避免读写竞争 - 熔断打开后，fallback 逻辑可走本地白名单（如预置的
service-token列表）或放行已通过签名校验的 JWT（跳过 Redis 权限查库） - 所有降级行为必须打结构化日志，含字段
"fallback_reason": "redis_unavailable"，方便监控告警联动
多活部署下公钥与密钥必须统一纳管，禁止实例间不一致
跨机房部署多个鉴权服务实例时，若各实例加载的 JWT 签名密钥或公钥不同，会导致同一 token 在 A 机房校验成功、B 机房失败，引发权限混乱。
- 密钥对必须由统一密钥管理服务（如 HashiCorp Vault 或 K8s Secrets + External Secrets Operator）下发，禁止硬编码或读文件
- 公钥加载失败时，服务启动应 panic 并退出（不可带病运行），因为无公钥 = 无法验证任何 token
- 每次密钥轮换后，需触发所有鉴权服务实例 reload，推荐用
fsnotify监听文件变更 + 信号量控制 reload 原子性
最易被忽略的是：鉴权服务的健康检查响应里没带依赖延迟（比如 "redis_ping_ms": 127），导致 SRE 无法区分是网络抖动还是 Redis 彻底宕机；还有就是 fallback 逻辑没做幂等校验，token 放行后又被下游重复鉴权，造成资源浪费。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
