如何測試代理用戶端斷路器，又不誤停健康市場
斷路器能阻止代理工作在持續逾時中製造重試風暴，但範圍設計錯誤時，一個城市的庫存不足也可能讓所有市場停擺。控制只有在故障分類、作用範圍與恢復邏輯符合工作需求時才有價值。
本指南驗證四件事：持續故障達門檻後進入 open；open 期間快速拒絕；half-open 只放行少量探針；只有業務結果真正恢復才回到 closed。目的不是規避目標網站控制，而是減少浪費、保護健康流量並讓故障可觀察。
先定義斷路器保護的失敗域
不要從單一全域計數器開始。斷路鍵可組合供應商或閘道、國家／地區／城市池、目標主機、憑證範圍及請求操作類型。一個城市的問題不應關閉健康國家；但為每個輪替 IP 建立獨立斷路器，也會掩蓋供應商層級故障。應選擇最窄且穩定的營運邊界，並向上彙總觀察。
先分類，再計入失敗
| 結果 | 典型處理 |
|---|---|
| 連線逾時、重設、閘道 5xx | 計入相應閘道或位址池斷路器 |
| 代理驗證 407 | 停止並修復憑證／設定；輪替無法解決 |
| 目標 429 與 Retry-After | 遵守等待時間，不得輪替繞過 |
| 請求本身導致的目標 4xx | 回傳呼叫端，通常不是代理健康問題 |
| 目標 5xx | 與代理健康分開，除非路徑證據充分 |
| HTTP 200 但內容是封鎖頁或錯誤版本 | 記為無效業務結果，不能算成功 |
| 指定地區無庫存 | 記錄位址池容量，只允許明確設定的降級 |
傳輸成功不等於有效結果，目標拒絕也不等於代理故障。應分別保留代理狀態、目標狀態、耗時及內容驗收結果。
驗證 closed、open 與 half-open
Closed 放行正常請求，並在時間或計數視窗內統計符合條件的失敗。最小樣本數與門檻必須同時滿足，避免一次偶發逾時關閉低流量市場。
Open 應在建立連線或產生代理費用前快速拒絕。把數千工作堆在 open 斷路器後方，只是把故障轉成記憶體與延遲問題。錯誤需包含斷路鍵、狀態及下一次探針時間，但不能洩漏憑證。
Half-open 只允許固定數量的探針。恢復中的閘道若瞬間承受全部積壓，可能再次失敗。只有探針通過正常業務的內容與位置驗收才關閉；符合條件的探針失敗則重新開啟，並在有界策略內延長冷卻。
建立測試矩陣
只使用自己擁有或明確獲准測試的代理端點與目標。準備健康內容、連線拒絕／重設、超過用戶端期限的延遲、407、帶重試指示的 429、目標 5xx、HTTP 200 但內容無效、指定地區無庫存，以及故障視窗後恢復等固定場景。
每個場景同時測試受影響市場與健康對照市場，固定併發、逾時、工作階段策略及請求量。記錄狀態轉換、放行、快速拒絕、排隊、重試、恢復探針、有效結果與總流量。
使用代理逾時預算指南確保單次嘗試不會超過總工作期限，並搭配重試放大控制避免多層重試相乘。
驗證故障隔離
受影響斷路器開啟時，健康市場應繼續達到延遲與成功率目標，並確認不會靜默直連、不會暗中擴大地理選擇、憑證與工作階段不會洩漏到備援路由、佇列保持有界，而且監控能區分快速斷路拒絕與網路失敗。
若允許備援供應商或地區，應視為獨立路由，重新驗證位置、工作階段、內容與成本。完整路由切換可參考代理容錯移轉演練。
用接近正式環境的證據調整參數
最小樣本數、失敗／慢速呼叫門檻和 open 時長會互相影響。低門檻反應快但容易波動；大視窗較穩定卻會在開啟前浪費請求；冷卻過長延遲恢復，過短則可能用探針再次壓垮依賴。
用重播的延遲分布或受控負載測試調整，測量失敗率、慢速率、p50/p95/p99、open 期間避免的請求、健康對照誤開次數、穩定恢復時間、探針量、佇列深度，以及每單位成本的有效業務結果。
探針必須相互獨立且有意義。透過同一重用連線完成十次快取健康檢查，不能證明新工作階段、地區選擇與目標內容已恢復。
讓重試理解斷路狀態
只有操作安全且總預算允許時才重試暫時性故障，並使用有界指數退避與抖動。斷路器已 open 時，重試層必須立即停止，不能循環接收相同的快速拒絕。
遵守 Retry-After 等目標指示，不得靠輪替出口規避限速或存取控制。非冪等操作沒有可靠冪等機制時不要重試。底層連線斷路器看不到「200 但內容錯誤」，應用層又可能看不到 TCP 飽和；應分開收集訊號，再由明確政策決定影響哪個失敗域。
驗收清單
- 斷路鍵對應真實供應商、位址池、市場及目標失敗域。
- 故障分類明確，不把所有 4xx、5xx 與逾時混為一談。
- 最小樣本防止一次錯誤開啟低流量斷路器。
- open 在連線與計費前快速拒絕。
- 佇列、重試及記憶體有界。
- half-open 只放行少量具業務意義的探針。
- 局部故障不影響健康市場。
- 直接連線繞過與靜默擴大地區不可能發生。
- 備援路由重新驗證位置、內容、工作階段及成本。
- 狀態轉換、原因碼與下一探針時間可觀察。
- 人工覆寫有稽核且自動到期。
- 只有業務有效結果才能關閉斷路器。
常見問題
429 應開啟代理斷路器嗎？
通常應觸發目標專屬限速政策並遵守 Retry-After，而不是把代理池標示為故障。不得輪替代理繞過限制。
每個出口都要獨立斷路嗎？
通常不需要。輪替池中的單一 IP 狀態不穩定，也可能掩蓋共享故障。應依穩定營運失敗域建立鍵，同時保留出口層級證據供診斷。
健康檢查能直接關閉斷路器嗎？
它可輔助恢復，但未必證明真實工作、位置選擇、工作階段與內容有效。授權及成本允許時，應使用少量接近真實工作的探針。
只有一個城市沒庫存怎麼辦？
只開啟或限制該城市池，不要關閉整個供應商。明確失敗，或僅使用已核准且清楚標示的較寬定位。
合規說明
只測試自己擁有或獲准存取的基礎設施與目標，遵守供應商合約、網站條款、速率限制、robots 指引、隱私義務與當地法律。斷路器應降低負載、限制故障範圍，不能用於規避控制、掩飾違規自動化，或在目標發出停止訊號後繼續請求。
