Fail-Safe（安全失败）设计原则详解

一、核心概念

Fail-Safe（安全失败） 指系统在遇到故障、异常或信息缺失时，自动进入一个预先定义的安全状态，而不是继续执行可能造成危害的操作。核心思想一句话概括：

当无法确定操作是否安全时，宁可停下来（失败），也不要带着不确定性继续执行。

它的反面是 Fail-Open（故障开放）：出问题时放行通过。两者没有绝对好坏，取决于"失败的代价"和"误放行的代价"哪个更大。

二、三个容易混淆的相近概念

概念	含义	出错时的行为
Fail-Safe（安全失败/故障关闭）	失败时进入安全状态	拒绝/停止，倾向保守
Fail-Open（故障开放）	失败时保持开放通行	放行/继续，倾向可用
Fail-Fast（快速失败）	一旦发现异常立即终止，不拖延	立即抛错，不吞异常

注意：Fail-Safe 关注"失败后进入什么状态"，Fail-Fast 关注"多早发现并终止"。二者常配合使用------快速发现问题（Fail-Fast）并落到安全状态（Fail-Safe）。

注：

博客：

https://blog.csdn.net/badao_liumang_qizhi

三、现实世界的类比

电梯：断电时抱闸锁死停在原地（Fail-Safe），而不是自由下滑
红绿灯：故障时切到全红/黄闪（Fail-Safe），而不是全绿放行
保险丝：电流异常时熔断切电（Fail-Safe），而不是放任过载
门禁系统

：这里出现分歧------
- 机房/金库门禁：读卡器故障时锁死（Fail-Secure，安全优先）
- 消防逃生门：火警/断电时自动解锁（Fail-Safe，生命优先，此处"安全"指人身安全）

这个门禁例子说明："安全"的定义取决于你在保护什么。保护数据选"锁死"，保护生命选"开门"。设计前必须先明确"最坏情况是什么"。

四、权限/安全场景中的 Fail-Safe（最常见应用）

在鉴权、权限校验场景，Fail-Safe 几乎是默认准则：当权限信息无法获取或不确定时，默认拒绝（Deny by default）。

错误做法（Fail-Open，有安全漏洞）：

java 复制代码

// ❌ 反例：查询权限失败时默认放行
public boolean hasPermission(String userId, String resource) {
    try {
        Set<String> permissions = permissionClient.queryPermissions(userId);
        return permissions.contains(resource);
    } catch (Exception e) {
        log.warn("查询权限失败", e);
        return true; // 危险！查不到权限就放行 = 任何故障都能绕过鉴权
    }
}

正确做法（Fail-Safe，默认拒绝）：

java 复制代码

// ✅ 正例：查询权限失败时默认拒绝
public boolean hasPermission(String userId, String resource) {
    try {
        Set<String> permissions = permissionClient.queryPermissions(userId);
        return permissions.contains(resource);
    } catch (Exception e) {
        log.warn("查询权限失败,按无权限处理,userId={}", userId, e);
        return false; // 安全：权限不明 = 不放行
    }
}

五、"传空值 + 下游强校验"的 Fail-Safe 模式

有一种更精巧的 Fail-Safe 变体：上游拿不到关键数据时传"空"，而不是传"兜底的默认值"，由下游的强校验把这次操作安全地挡下来。

关键在于：不要用一个"看似合理的默认值"去填补缺失的数据，因为错误的默认值可能让操作错误地成功。

通用示例：订单折扣计算

假设有一个「按会员等级计算折扣」的操作，会员等级要调用远程服务查询。

错误做法（用默认值兜底，可能造成资损）：

java 复制代码

// ❌ 反例：查不到会员等级时给个默认等级
public BigDecimal calculateDiscount(Long userId, BigDecimal amount) {
    MemberLevel level;
    try {
        level = memberClient.getLevel(userId);
    } catch (Exception e) {
        level = MemberLevel.VIP; // 危险！查询失败就当成VIP → 给了不该给的折扣
    }
    return amount.multiply(level.getDiscountRate());
}

正确做法（Fail-Safe：传空 + 下游强校验拦截）：

java 复制代码

// 下游折扣服务：等级为空时强制拒绝,不猜测
public BigDecimal applyDiscount(BigDecimal amount, MemberLevel level) {
    if (level == null) {
        // 关键:等级未知时抛异常中止,而不是默认一个等级
        throw new BusinessException("会员等级未知,无法计算折扣,请重试");
    }
    return amount.multiply(level.getDiscountRate());
}

// 上游:查询失败时传 null,把"是否安全"的决定权交给下游强校验
public BigDecimal calculateDiscount(Long userId, BigDecimal amount) {
    MemberLevel level = null;
    try {
        level = memberClient.getLevel(userId);
    } catch (Exception e) {
        log.warn("查询会员等级失败,等级置空由下游校验拦截,userId={}", userId, e);
        // 不兜底默认值,保持 null
    }
    return applyDiscount(amount, level); // level 为 null 时下游会抛异常安全失败
}

这个模式的三个要点：

上游：外部依赖异常 → 关键参数传 null/空，不编造默认值
下游：对关键参数做强制非空/合法性校验，不满足就中止
结果：操作安全失败 （可重试），而不是错误成功（无法挽回）

六、设计决策框架：什么时候用 Fail-Safe

决策的核心是比较两种代价：

复制代码

误放行代价（Fail-Open 的风险）  vs  误拒绝代价（Fail-Safe 的风险）

场景	误放行代价	误拒绝代价	推荐策略
权限/鉴权校验	高（越权、数据泄露）	低（用户重试）	Fail-Safe（拒绝）
支付/扣款/折扣	高（资损）	低（重试）	Fail-Safe（中止）
审核/审批放行	高（错误放行不可逆）	低（重新审核）	Fail-Safe（失败）
风控/反欺诈	高（欺诈损失）	中（误伤正常用户）	Fail-Safe 为主，辅以人工复核
内容推荐/非关键展示	低（展示不精准）	高（页面开天窗）	Fail-Open（降级展示默认内容）
日志/埋点上报	低	低	Fail-Open（丢弃即可，不影响主流程）

经验法则 ：操作一旦执行就难以回滚、或涉及安全/资金/权限的，一律 Fail-Safe；只影响体验且可容忍不精确的，可以 Fail-Open 降级。

七、实现 Fail-Safe 的常用技术手段

1. 默认拒绝（Deny by default）

java 复制代码

boolean allowed = false;          // 默认不允许
if (检查通过) { allowed = true; } // 只有明确通过才允许

2. 关键参数强校验 + 快速失败

java 复制代码

Objects.requireNonNull(level, "等级不能为空");
Assert.notEmpty(industryCodeList, "权限集合不能为空");

3. 异常不吞掉、带上下文抛出（配合 Fail-Fast）

java 复制代码

try {
    doSomething();
} catch (Exception e) {
    log.warn("操作异常,关键id={}", id, e);
    throw e; // 不要默默返回成功,让调用方感知失败
}

4. 超时与熔断（防止"卡死"也是一种 Fail-Safe）

远程调用设超时，超时按失败处理，而不是无限等待
熔断器打开时走降级逻辑（降级逻辑本身要符合 Fail-Safe 方向）

5. 幂等 + 可重试

Fail-Safe 失败后要能安全重试，所以操作需设计成幂等，避免重试产生副作用

八、常见误区

把"吞异常返回成功"当容错 ：catch 后 return true/返回默认值，看似"健壮"，实则埋下越权/资损漏洞。
用默认值掩盖数据缺失：拿不到数据就给个"合理默认值"，让错误操作悄悄成功，比直接报错更难排查。
混淆 Fail-Safe 和 Fail-Open 的适用场景：对非关键展示类过度 Fail-Safe 会导致页面动不动报错；对权限/资金类用 Fail-Open 则是安全事故。
只失败不可观测：安全失败了却没日志，线上无法定位到底是哪次、因何失败------Fail-Safe 必须配结构化日志。
失败后不可重试：安全失败了但操作非幂等，用户重试反而出问题。

九、一句话总结

Fail-Safe 的本质是对不确定性保持敬畏 ：当你不确定一个操作是否安全时，让系统落到"拒绝/中止"这个安全状态，并清晰地告知失败（可观测、可重试），而不是用猜测的默认值让操作带病通过。它在权限、资金、审核等"错误不可逆"的场景里是默认准则。