第 30 章：多环境治理

这是《Spring Boot 与 Spring Cloud 零基础实战指南》的独立章节版。本章从概念、实操和生产排查三个视角展开，代码块保留了原书可直接运行的版本。 多环境的目标不是拥有 dev、test、prod 三个名字，而是让配置、数据、权限、发布和验证流程有清晰边界，同时尽量保持生产相似度。

30.1 环境分层

核心要求：

1. 命名规范统一；
2. 配置隔离；
3. 数据隔离；
4. 权限隔离；
5. 流量隔离；
6. 监控隔离；
7. 发布策略不同。

30.2 配置策略

application.yml        公共默认
application-dev.yml    开发差异
application-test.yml   测试差异
application-prod.yml   生产差异
配置中心 namespace      环境隔离

原则：

1. 默认值面向安全，不是面向生产；
2. 生产必需键显式配置；
3. 环境地址来自环境变量；
4. 密钥不落仓库；
5. 配置变更可回滚；
6. 每个配置有 owner。

30.3 数据策略

禁止：

1. 测试环境连接生产库；
2. 生产数据未脱敏复制；
3. 共享 Redis namespace；
4. 测试 topic 和生产 topic 混用；
5. 定时任务跨环境写同一数据源。

30.4 权限治理

生产权限：

1. 最小化；
2. 审批；
3. 审计；
4. 时间窗口；
5. 操作录像或命令记录；
6. 禁止通用共享账号。

30.5 环境漂移

漂移来源：

1. 手工改配置；
2. 生产 hotfix 未回流；
3. 数据库脚本遗漏；
4. 环境资源不一致；
5. 中间件版本不同；
6. 依赖版本不同。

治理：

1. 配置 Git 化；
2. IaC 管环境；
3. 数据库版本工具；
4. 环境巡检；
5. 制品同源；
6. 版本矩阵；
7. 自动 diff。

30.6 冒烟与环境验证

staging 发布后验证：

1. 健康检查
2. 核心接口
3. 登录流程
4. 支付沙箱
5. 消息收发
6. 数据库迁移
7. 回滚演练
8. 监控和告警

自动化冒烟应接入发布流水线，失败自动阻断或暂停。

30.7 环境监控

每个环境都需要基础监控，但告警级别不同：

staging 与生产监控指标应保持一致，方便发布前对比。

30.8 多机房与区域

Region
  |-- Zone A
  |   |-- Service instances
  |   |-- DB primary
  |-- Zone B
      |-- Service instances
      |-- DB replica

治理点：

1. 流量就近；
2. 数据复制延迟；
3. failover 策略；
4. 配置中心可用性；
5. 服务发现跨机房视图；
6. 发布按区域灰度；
7. 故障演练。

跨机房写一致性和本机房读性能往往需要权衡。

30.9 环境成本

优化方式：

1. 非生产环境定时启停；
2. 测试数据保留周期；
3. 日志采样；
4. trace 采样；
5. 复用云资源；
6. 按需创建 preview 环境；
7. 清理孤儿资源。

preview 环境适合分支联调，但必须自动回收，避免资源泄漏。

本章小结

多环境治理要保证配置、数据、权限、流量和监控隔离，同时让 staging 尽量接近生产。治理环境漂移比增加环境数量更重要。生产权限和变更必须审批审计，非生产资源要有生命周期管理。

思考题

1. staging 和 test 的差异是什么？
2. 如何避免环境配置漂移？
3. 哪些数据不能直接复制到测试环境？
4. 多机房流量就近有哪些代价？
5. 如何治理 preview 环境资源泄漏？