灾备切换需手动验证、可回滚、有超时边界；心跳判定应采用滑动窗口p95×3动态阈值；grpc须用自定义resolver分组管理并禁用withblock；数据库迁移须绑定版本、显式goto目标版本且事务包裹；全程需可审计痕迹。
灾备切换不是“自动切完就没事了”，而是必须能手动验证、可回滚、有明确超时边界的操作。盲目依赖自动化反而会放大故障影响。
心跳超时判定要区分网络抖动和真实宕机
单纯用固定阈值（比如 5 秒无心跳就切）在跨 region 场景下极易误判。杭州到深圳的 P99 网络延迟实测常达 40–60ms，加上服务处理 jitter，1 秒内丢几个心跳很常见。
- 用滑动窗口统计最近 30 次心跳间隔，取 P95 值 × 3 作为动态超时阈值，比固定值更鲁棒
-
sendHeartbeat中别只发一次 —— 改为连续发 3 次，间隔 200ms，任一成功即重置本地计时器 - Backup 节点收到心跳后，必须更新
LastTS并刷新本地缓存，不能只靠 HTTP 请求到达时间
gRPC 连接切换不能靠重连，得用 resolver 分组管理
在 UnaryInterceptor 里根据 context 临时换 endpoint 是无效的：gRPC 的连接复用机制会让后续请求继续走旧连接，新路由逻辑根本没机会生效。
Golang Uber Dig
下载
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
- 实现自定义
resolver.Builder，把不同 region 的实例注册为独立 scheme（如hz://、sh://） - 初始化
grpc.Dial时传入grpc.WithResolvers(hzResolver, shResolver)，再用grpc.Dial("hz:///user-svc")显式指定分组 - 务必禁用
WithBlock()，改用WithTimeout(10 * time.Second)防止 region 不可达时卡死整个 dial 流程
数据库恢复必须绑定迁移版本，不能靠“最新 SQL 回滚”
用 migrate down 1 这类命令看似方便，但生产环境一旦并发执行或中间出错，极易导致版本错乱、事务不完整、上下游状态不一致。
- 每次灾备切换前，先执行
migrate -database ${DB_URL} -path migrations version记录当前版本号 - 回滚操作必须带显式目标版本：
migrate -database ${DB_URL} -path migrations goto 20231001，而非模糊的down - 所有
.down.sql文件必须包裹BEGIN; ... COMMIT;，且开头加注释说明适用场景（如“仅用于 region 切换前清理本地缓存表”）
真正难的不是写切换逻辑，而是让每次切换都留下可审计的操作痕迹：心跳日志带 trace_id、gRPC resolver 切换记录具体 endpoint 变更、数据库迁移执行前后快照比对 —— 没有这些，所谓“高可用”只是幻觉。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
