两点突出一个漏洞

凌晨三点，两点我盯着屏幕上的突出报错日志，那串十六进制地址像根鱼刺卡在喉咙里。个漏两个月前上线的两点支付系统，在峰值流量下突然丢单——不是突出网络抖动，不是个漏数据库锁死，是两点Redis缓存与MySQL之间那道看似天衣无缝的屏障，裂开了一道仅有两毫秒的突出缝。

问题出在“双写一致性”上。个漏常规做法是两点先更新数据库，再删缓存。突出可那天运气差到极点：线程A刚写完库，个漏还没来得及删缓存，两点线程B就读到了旧值，突出顺手把它写回了缓存。个漏等线程A姗姗来迟地执行删除命令，新值已被旧值覆盖。就这么一眨眼的功夫，用户的钱扣了，订单却显示“支付失败”。

修复方案不复杂——把删除缓存改成延迟双删，或者引入版本号。但真正让我后背发凉的，是排查过程中发现的另一个细节：监控面板上，缓存命中率明明高达99.8%，可那丢失的0.2%请求，恰好全部撞在缓存过期与数据库写入的交界处。就像一扇双向弹簧门，两边都以为对方会拦住人，结果谁都没拦。

这让我想起去年修过的一个老系统。那边团队为了省事，把所有配置项塞进一个全局静态类，每次修改直接覆盖。上线三年没出过事，直到某次运维手滑，把测试环境的开关值同步到了生产。那一刻，全局变量成了定时炸弹——所有节点同时读到错误配置，瞬间雪崩。你说这算不算“两点突出一个漏洞”？静态类的读写两点都做了，可第三点“变更通知机制”压根没人想过要建。

技术圈爱讲“木桶效应”，但实际故障往往更接近“跷跷板”——你压平了这头，那头就翘起来。缓存与数据库的一致性，本质上是在吞吐量和准确性之间走钢丝。你加锁，性能垮了；你异步重试，逻辑复杂了；你干脆不做缓存，数据库扛不住。每个方案都在两点之间做取舍，而漏洞就藏在那个没被命名的第三点上。

后来我在代码注释里写了句话：“此处删除缓存失败时，需人工介入。”同事看了直摇头，说这太原始。可我知道，真正成熟的系统，恰恰需要承认自己存在无法自动修复的盲区。就像外科医生做完手术，总要清点纱布——哪怕理论上器械护士已经数过两遍。

那天的故障最终靠临时脚本手动补偿了数据。但我在复盘文档里没写“加强监控”这种废话，而是画了张时序图，把两毫秒的窗口用红笔圈了三圈。下次评审代码时，我会盯着每个“先A后B”的逻辑问一句：如果A成功了B失败，谁来兜底？如果两个都成功了，但顺序反了，后果是什么？

漏洞从来不是突然出现的，它只是被两个看似正确的操作，悄悄挤出了容错空间。