应弃用已停止维护且存在并发安全问题的hystrix-go，改用稳定生产验证的gobreaker；其采用独立ticker与原子计数器避免竞态，支持精准错误判定、滑动窗口统计、half-open单请求探活及三级降级策略，并需配合监控与动态配置。
hystrix-go 已停止维护，且其内部基于全局计时器和共享状态的设计在高并发下容易引发 goroutine 泄漏与统计偏差；现在应直接使用 gobreaker 或 sony/gobreaker —— 它是当前 Go 生态最稳定、被大量生产项目验证的熔断器实现。
为什么不用 hystrix-go 而选 gobreaker
hystrix-go 自 2019 年起无实质更新，其 hystrix.Do 底层依赖全局 time.Ticker 和未加锁的 map 计数，在 QPS > 5k 场景下常出现：concurrent map writes panic、熔断状态误判、超时统计漂移。而 gobreaker 使用 per-circuit 独立 ticker + 原子计数器，无共享状态竞争，且支持自定义错误判定（如只对 *net.OpError 或 HTTP 5xx 熔断）。
- 默认不熔断非错误返回（比如业务逻辑返回
err == nil但响应体含"code": 500），需手动包装判断 - 状态切换（Closed → Open → Half-Open）完全基于滑动窗口内失败率，不依赖固定时间片，更适应突发流量
- Half-Open 状态下仅允许单个请求探活，其余请求立即失败，避免雪崩重试
gobreaker 的基础封装：带上下文与降级回调
不要裸用 gobreaker.NewCircuitBreaker，需封装为可注入、可配置的执行器。关键点：必须传入 context.Context，并在降级函数中保留原始 error 语义（比如返回 errors.Join(err, ErrFallback)），方便上层做分类处理。
type CircuitExecutor struct {
cb *gobreaker.CircuitBreaker
fallback func(context.Context) (interface{}, error)
}
<p>func (e *CircuitExecutor) Execute(ctx context.Context, fn func(context.Context) (interface{}, error)) (interface{}, error) {
return e.cb.Execute(func() (interface{}, error) {
select {
case <-ctx.Done():
return nil, ctx.Err()
default:
return fn(ctx)
}
})
}</p><p>// 使用示例：
exec := &CircuitExecutor{
cb: gobreaker.NewCircuitBreaker(gobreaker.Settings{
Name: "payment-service",
Timeout: 5 * time.Second,
ReadyToTrip: func(counts gobreaker.Counts) bool {
return counts.ConsecutiveFailures > 5
},
OnStateChange: func(name string, from gobreaker.State, to gobreaker.State) {
log.Printf("circuit %s state change: %v -> %v", name, from, to)
},
}),
fallback: func(ctx context.Context) (interface{}, error) {
return nil, errors.New("fallback: payment service unavailable")
},
}
降级策略不能只靠返回默认值
简单 fallback 返回 nil 或空结构体极易掩盖问题——调用方若未检查 error 就直接解包，会 panic；更糟的是，某些场景（如扣减库存）必须拒绝而非静默成功。真实降级应分三级：
