华为云 API 网关 APIG 流量治理实战：限流、熔断与灰度发布落地配置

一、为什么要把流量治理前移到网关

微服务拆分之后，后端的稳定性往往不再由单个服务的代码质量决定，而是由“入口侧是否受控”决定。突发流量、下游超时、某个版本发布异常，任何一个环节失控都会沿着调用链放大。把限流、熔断、重试、灰度这几件事收敛到 API 网关，是成本最低的做法：业务代码零改造，策略在一个控制面上统一配置，出问题时能在一处止血。本文基于华为云 API 网关 APIG 的实践，梳理一套可直接落地的流量治理配置思路。

二、限流：先分维度，再谈阈值

APIG 的流控策略支持按 API、IP、账号、应用（凭据）等维度限流，核心配置项是单位时间内的最大调用次数。落地时有两个常见误区：一是直接把阈值挂到 API 上，生产上更稳妥的做法是先在应用维度做总量控制，再对核心接口做单 API 细粒度限流，避免单个调用方把配额吃光；二是阈值拍脑袋决定，建议先从历史监控取 P99 峰值 QPS，乘以 1.5 至 2 的安全系数作为初始值，之后按周迭代。

请求超出阈值时 APIG 返回 429，建议后端自定义响应体透出 {"code":"RATE_LIMITED"}，
客户端应做指数退避而不是立即重试，否则限流会被放大成雪崩。

三、熔断与降级：给下游留出恢复窗口

熔断的本质是快速失败加定期探活。当某个后端服务错误率超过阈值（例如 50%）并持续一段时间，网关侧直接返回降级响应，不再把请求转发下去，给下游留出恢复窗口。APIG 支持为后端服务配置断路器，配合熔断时长参数，在窗口结束后放行少量探测请求，探测成功则闭合恢复调用。

四、超时与重试：只对幂等接口开放

超时设置要自上而下收敛，客户端超时应大于网关超时，网关超时应大于后端服务超时，否则会出现客户端已经断开、后端仍在计算的资源浪费。重试必须配合幂等，只对 GET 或携带幂等键的写接口开启，重试次数建议控制在 2 次以内。

五、灰度发布：按权重与请求头分流

APIG 支持通过环境变量、请求头、权重等方式做路由分流。推荐组合是：内部灰度用请求头精确命中，例如 x-gray: v2；外部验证用权重 5%、20%、100% 渐进放量。每个阶段都要盯核心指标：错误率、P99 延迟、业务转化率，任一指标劣化立即回退。

六、可观测性：网关日志是排障第一现场

开启 APIG 的调用日志并投递到 LTS，记录 requestId、上游响应码、后端耗时、流控命中标记。排障顺序应为：先看网关日志判断是流控或熔断拦截，还是后端真正异常，再下沉到服务侧日志定位代码问题，避免两边互相甩锅。

七、总结

流量治理不是配几个参数就结束，而是一套“阈值有依据、降级有预案、灰度有节奏、排障有数据”的闭环。把网关当作流量治理的单一控制面，能在不动业务代码的前提下，把大部分可用性风险挡在入口之外。