金融核心系统微服务改造实战：架构设计、分布式事务与稳定性建设

去年在一家股份制银行的技术团队里我参与了一个代号叫financial-services的核心系统改造项目。说白了就是把这套承载了十几年业务、牵一发动全身的老旧交易系统从集中式架构往分布式微服务方向挪。业内都知道金融行业的信息系统是最难动的那一类钱的事不能出错、审计要能溯源、业务部门每天盯着交易量运维这边还背着不能出事故的考核。这个项目前后做了九个月中间踩了无数坑也沉淀了一批可以复用的方法论。这篇就把整个拆解过程、关键设计取舍和实战中的血泪教训一并整理出来。1. 项目到底在解决什么问题金融服务的转型压力与目标1.1 传统金融核心系统的三大积弊绝大多数传统金融机构的信息系统最初都是按竖井模式建设的。账务系统管账、客户系统管客户、支付系统管通道系统之间靠接口和文件对账硬生生连起来。这种架构在业务规模小的时候没什么问题但一旦业务量上来或者产品创新节奏加快问题就暴露得非常明显。第一个问题是耦合太深。拿最常见的余额查询来说一次查询可能背后串了十几个接口调用任何一个下游系统慢几百毫秒前端就转圈。为了查个余额中间件、数据库、外部接口全都得陪着跑一遍性能自然上不去。第二个问题是扩展性差。集中式架构下数据库基本是单点或者主从复制写能力受制于单机上限。大促、秒杀、工资代发这种突发流量一来DBA就要熬夜调参数扩容靠堆硬件成本高、效果有限。第三个问题更致命就是发布和变更太慢。想加一个字段、改一段逻辑要在一个几百万行的代码库里操作回归测试要跑一两个月。业务说这个功能下周上线IT团队只能说下季度吧。金融服务创新的响应速度被系统架构死死按住了。1.2 这次改造要达成哪些硬指标项目启动前我们把目标量化成了几个不可商量的指标。这些指标既是考核标准也是后续所有技术决策的约束条件。可用性目标核心链路全年可用性不低于99.99%单次故障恢复时间不超过5分钟。性能目标核心交易接口平均响应时间从原来800毫秒压到200毫秒以内峰值TPS每秒事务数至少提升三倍。弹性目标支付、转账这类核心链路的服务节点支持水平扩展扩容时业务无感知。合规目标所有交易数据可追溯日志留存至少满足监管报送要求敏感字段全链路加密。成本目标改造后同等业务量下单笔交易的综合IT成本下降30%以上。指标定下来之后我们就知道这事没有退路了。接下来最难的不是技术选型而是怎么拆这个大泥球。2. 架构设计先想清楚再动手2.1 微服务怎么拆按业务域而非技术层很多团队一上来就喜欢按用户服务、订单服务、支付服务这么拆看起来挺合理但实际落地时会发现边界根本划不清楚。比如客户服务里到底该不该包含客户资产汇总订单服务和交易服务是不是重复造轮子我们当时用了最笨也最有效的办法先花两周时间梳理业务流程和事件流把业务域地图画出来。从客户开户到资金划转再到日终对账把每个环节涉及的数据实体和操作列出来找出边界再看哪些环节被多个业务场景复用。最终把系统拆成七个核心服务客户中心、账户中心、交易引擎、清算中心、渠道网关、风控中心、通知中心。这里有一个很重要的心得拆服务的出发点是业务高内聚、数据低耦合而不是按团队分工或按页面划分。如果一个服务里既有核心账务又有营销活动后续一定会在性能优化上互相拉扯。2.2 技术选型为什么没有无脑上最新框架金融项目技术选型有个基本原则稳定性优先于先进性生态成熟度优先于炫技。我们不是不能用最新的技术而是每一层技术栈都要有人真正踩过坑、有大量案例验证过。语言层面核心链路继续用JavaJDK 11因为金融行业Java人才储备最充足、调优资料最多。Spring Boot Spring Cloud Alibaba这套生态虽然被一些人吐槽太重但在服务发现、配置管理、网关这些基础设施上它提供的组件是被大规模生产环境验证过团队的学习曲线最平滑。消息队列选了RocketMQ。原因很简单它具备事务消息能力而且金融行业里有大量案例。Kafka吞吐高但事务和顺序保障弱一些RabbitMQ功能不错但吞吐和集群扩展能力在高峰期会吃力。为了几条消息牺牲整套分布式事务方案不值得。注册中心和配置中心都用Nacos。一开始我还纠结过要不要上K8s全家桶最后的结果是容器化要上但循序渐进。先做无状态服务的容器化部署有状态的数据库、缓存还是先沿用物理机或虚机等团队对容器网络、存储、调度都熟了再逐步推进。2.3 单元化部署与数据分片的取舍金融行业有个词叫单元化意思是把整个系统划分成若干个能独立完成核心业务流程的单元每个单元拥有自己的一套应用和数据库不同单元之间用路由规则将流量分配到对应单元。这样做的最大好处是故障被限制在一个单元内其他单元照常运行。但单元化不是所有项目都适合的。小型金融机构或者业务量没有到万级TPS强行上单元化只会徒增复杂度。我们最终采用了**大池子分片的折中方案**应用层全部无状态化数据库按客户维度的分片键客户号hash或者组织机构维度做分片中间层通过ShardingSphere做读写分离和分库分表。数据分片键的选定很关键。如果按流水号分片那跨分片的客户聚合查询就要走汇总层如果按客户号分片同一个客户的所有账户数据天然落在一个分片内交易和查询都不需要跨库。后者明显更适合银行账户体系。代价是热点客户可能造成某个分片负载偏高需要靠客户号加盐动态调整分片映射来缓解。3. 核心链路实现把钱从A转到B的七道坎3.1 分布式事务本地消息表加对账兜底分布式事务是每一个做金融微服务的团队都绕不开的坎。原来在单库里一个事务天然有ACID保证拆成微服务之后账户扣减和流水记录分布在两个物理库中万一中间环节宕机钱扣了流水没记对账就出问题。业界方案五花八门两阶段提交2PC、TCCTry-Confirm-Cancel、Saga、本地消息表。我们最终没有选择TCC因为TCC对侵入性强每个业务方法都要实现Try、Confirm、Cancel三个接口业务代码逻辑被拆得太碎后续维护成本高。我们的核心方案是本地消息表 消息队列 定时对账扣减账户余额时在同一个本地事务里写一条交易状态待发送的消息表记录。本地事务提交后异步任务把消息表里待发送的记录投递到RocketMQ。下游消费到消息后执行相应操作执行完写回调状态。定时任务扫描那些超时未完成的消息重发或者触发人工补偿。这套方案牺牲一点点实时性换来的是极高的可靠性。这个思想说白了就是与其让多个系统同时完成一个事务不如把每一步操作的结果都明确记下来靠重试和核对把最终状态拉齐。3.2 幂等与防重回调乱序、重复通知的应对分布式系统里消息可能重复、接口可能重试、回调可能乱序。如果我们不做幂等一个用户连续点了两次转账系统就真的转两笔出去那是事故。幂等的做法说穿了也简单每个请求都带一个全局唯一的请求ID或者业务流水号服务端以这个ID作为唯一键做去重。比如交易引擎收到请求后先查一下交易流水表里有没有这条ID有就直接返回原结果没有就执行。但要注意幂等做在数据库层面才算真幂等。如果在应用内存里做去重应用一重启就会漏。我们是在流水表上加唯一索引插入冲突就捕获异常返回已有结果——这是最简单也最可靠的方案。还有一个很多人容易忽略的坑回调乱序。比如支付成功回调先到支付失败的回调后到或者反过来如果直接按回调内容更新状态状态就会错乱。我们处理方式是状态变更必须有状态机约束已支付状态不允许回退到支付中同时校验回调中的订单金额与本地订单金额一致金额不对直接拒绝。3.3 数据库拆分与双写迁移数据库拆分是这个项目里最惊险的部分。老的用户表和账户表都在一个Oracle库里几亿条数据直接迁移到新的分片库中间任何差池都会导致账目不平。我们采用的策略是双写校验灰度切换四步走。第一步新库和老库同时写入。应用层加一个迁移开关开启后同一笔写操作同时落老库和新库。刚开始双写时必然会出现不一致所以我们写了一个补偿任务每五分钟比对一次新老库的数据差异自动修正。第二步把核心读流量逐步切到新库。切换比例从1%开始观察监控指标响应时间、报错率、SQL慢查询稳定后再逐步提高到10%、50%、100%。这个过程我们走了整整三个星期比预想的慢但稳。第三步老库进入只读状态。双写运行一段时间后关掉新库写入口只保留老库同步任务将增量数据追平确认新库完整后彻底停止老库写入。第四步老库作为归档和审计源保留定期备份后下线。整个迁移过程中我们每天早上第一件事就是跑总分核对老库的总资产等于新库所有分片资产之和一分钱对不上当天就不做任何切换动作。这套对不平不切的原则救了我们好几次。4. 稳定性建设金融系统不能只看功能4.1 全链路压测做了三轮每一轮都查出大问题功能跑通只是第一步能不能扛住流量是另一回事。我们做了三轮全链路压测每一轮都有收获。第一轮压测的目标是验证基础容量。压测工具用JMeter模拟10万用户同时转账结果直接暴露了一个大问题数据库连接池被打满连接等待导致接口超时雪崩。排查下来发现应用层的数据库连接池参数没调默认只有20个连接全链路调用时一个慢SQL就占住连接不放后面的请求全部排队。解决方案是扩大连接池上限同时给核心SQL加超时熔断超过500毫秒直接降级返回。第二轮压测暴露的是消息堆积问题。交易高峰时RocketMQ的消费速度跟不上生产速度消息积压了上百万条日终清算被拖了一个多小时。我们把消费逻辑里的单条DB操作改成批量操作一批500条批量插入消费速度提升了一个数量级。第三轮压测开始做破坏性测试随机杀节点、断数据库、模拟网络抖动。这一轮查出的问题最大服务之间的Feign调用超时时间设成了固定值下游网络抖动时上游不知道要等多久最终形成链路雪崩。后来把所有同步调用改成快速失败异步重试模式下游不可用就立即返回不会拖垮整条链路。4.2 监控告警从指标到链路再到日志的三层体系以前老系统排查问题靠出了问题业务说一笔交易有问题DBA上去翻日志过程实在太慢。这次一上来就搭建了指标-链路-日志三层监控体系指标层Prometheus采集每台机器的CPU、内存、磁盘、网络以及每个服务的QPS、响应时间、错误率。核心指标配置了多级告警比如错误率超0.1%就是P2告警超1%直接P0。链路层SkyWalking做全链路追踪每笔交易从渠道网关进来到最终数据库落账中间每个环节的耗时都能看到。排查慢交易时不用再一个系统一个系统找直接看链路拓扑瓶颈在哪个服务一目了然。日志层统一日志格式traceId、交易流水号、时间戳、耗时、结果全字段规范化集中采集到ES里按时间和关键字秒查。三层体系搭好后最大的感受是排查问题的效率提升了一个量级。原来一个P1故障从报警到定位原因平均40分钟现在基本能压缩到10分钟以内。4.3 限流熔断与优雅降级网关是流量的第一道闸门。我们用了Sentinel做限流对核心接口按应用维度配置了三种限流规则QPS限流、并发线程数限流、以及热点参数限流。比如转账接口单用户每秒最多处理三次请求超过直接返回系统繁忙请稍后再试绝不允许让流量打到核心交易引擎。熔断方面我们给所有下游依赖设置了合理的超时和熔断阈值。某服务15秒内错误率达到50%就熔断30秒熔断期间请求走降级逻辑比如返回缓存的历史余额替代实时查询。这里有一个很重要的教训限流阈值必须根据压测数据来定不能拍脑袋。我们最初把某个接口的限流阈值设成理论值的80%结果压测时发现系统实际容量只有理论的60%导致大量请求被限流失败业务可用率反而下降了。后来改成单机压测峰值乘以机器数量再打八折作为集群限流阈值效果就对了。5. 安全与合规金融级的底线要求5.1 数据加密与脱敏的落地细节金融行业接触的都是账户、手机号、身份证号这类敏感数据加密不能只停留在数据库里存密文这个层面。我们的做法是分三级传输层全链路TLS加密内网服务间调用也走mTLS双向认证杜绝内网明文抓包风险。存储层数据库里的敏感字段用AES-256加密存储密钥统一放在KMS密钥管理服务里应用只保存密钥的引用ID。应用内存中使用数据时按需解密不允许把解密后的敏感数据写入日志。展示层界面和接口返回的敏感信息统一脱敏手机号只显示前三位后四位身份证号只显示部分位数。脱敏逻辑封装成一个公共组件所有服务接入避免各团队各写一套导致漏洞。有一个坑必须提一下加密字段在数据库里无法走索引查询。比如要用手机号精确查询用户不能直接WHERE phone 加密后的密文因为每次加密的随机IV不同同一手机号的密文不同。我们的解法是额外生成一个手机号哈希值字段HMAC形式查询时先算哈希再查既能走索引又不会暴露明文。5.2 审计与远程运维的管控金融合规里谁在什么时间做了什么操作必须全程可追踪。我们给所有运维操作上了堡垒机所有DBA的数据库操作、运维的服务器登录全部经过审计系统录像和操作日志至少保存两年以上。开发环境的权限管理也不能放松。程序员虽然需要一定的调试权限但不能直接操作生产库。生产数据需要导出到测试环境时必须先过脱敏工具——把手机号、身份证号、卡号等字段做不可逆变换防止敏感信息流出。这块我们吃过教训有过一次因为测试环境数据未脱敏导致的数据泄露风险事件从那以后脱敏工具就成了上线前的强制检查项。5.3 监管报送的技术支撑金融机构有大量的监管报送需求比如每日的资产规模、交易流水、风险指标等。分散在微服务里的数据如何快速汇总成一张准确的报表是必须提前设计的问题。我们的方案是建了一个报送数据中心所有核心服务的事务数据通过MQ实时同步到报送库中报送库按监管口径建模并保留历史快照支持任意时点的数据回溯。每天凌晨跑批生成报送文件自动比对分库汇总数任何一分钱对不上都会触发告警给人工团队。做金融系统的朋友一定要明白报送数据错了不只是罚款问题还会影响机构的市场信誉。所以报送链路的稳定性和准确性优先级应当排在很多功能开发之上。6. 常见问题与排查经验速查表6.1 实践中踩过的六个典型坑每个分布式改造项目都会遇到一些看起来没道理但就是会出现的问题。下面这六条是我们踩过、也在其他团队那里得到验证的经典案例。现象根因排查方法最终方案交易响应时快时慢无明显规律慢SQL在连接池里占着连接后续请求排队看数据库慢查询日志关联链路追踪给SQL加阈值熔断批量任务隔离线程池消息偶发丢失对账不平消息生产时用了异步发送失败未感知查MQ的producer日志核对消息表核心消息改同步发送重试机制消费者处理变慢积压暴涨消费逻辑中串行调用了外部接口查看消费线程阻塞情况批量拉取批量落库外部调用异步化大促流量一来数据库CPU直接打满热点客户数据集中在同一分片监控分片负载发现不均衡增加客户分片映射表热点客户动态路由灰度环境下新老逻辑结果不一致双写顺序不一致导致状态错乱对比新老库同一笔流水统一了双写入口同一代码路径执行接口偶发返回500重启后恢复内存缓存和数据库数据不一致排查缓存失效和重建逻辑缓存增加过期时间失败重试机制6.2 排查分布式调用超时的方法论分布式系统里最烦人的就是下游超时问题因为它可能来自网络抖动、连接池耗尽、GC停顿、下游慢SQL各种原因看起来都一样接口报超时。我们总结了一套标准的排查步骤第一步看全链路追踪。先确定是哪个环节超时是网关CN客户中心还是交易引擎这一步骤直接过滤掉90%的无关方向。第二步看超时服务的JVM监控。如果GC耗时占比高优先看堆内存和GC参数如果线程Blocked线程数高看是不是线程池队列排满。第三步看数据库和中间件。慢SQL日志、数据库连接数、MQ消费积压量是三个最常见的瓶颈来源。第四步看网络层。如果应用层没有异常但耗时依然高可能是网络丢包或带宽限速用ping测试和网卡监控辅助判断。这套方法论我们整理成了文档并做进了告警联动里任何一次超时告警都会自动带上对应的排查建议新人也能快速上手。7. 一点个人经验上的补充如果让我只给正在做金融微服务改造的团队一个建议我会说控制改造半径分期分批每一步都可回滚。金融服务系统的核心不是炫技而是稳。这个稳字既体现在线上稳定运行也体现在组织团队不焦虑、不停摆、不返工。另外一点心得是把对账当成一等公民来看待。很多团队做分布式改造最先关注的是接口性能、服务拆分但最容易忽略的是怎么证明系统没有算错钱。我们有三分之一的开发资源其实是投入在对账、稽核、补偿这类不产生业务价值但守住业务底线的功能上的。这些功能平时没人关注但一旦上线它们才是定海神针。最后送给大家一个细节金融项目上线前最好做一次断网演练把机房出口网络人为断开五分钟再恢复看看上下游链路能不能自动恢复、消息是否会出现大规模重投、对账任务会不会产生误报。我们那次演练之后排查出来的问题比三轮压测加起来还多。这些真实环境下的问题才是项目中最有价值的收获。