以传播之力
重塑品牌价值

先看调用方身份怎么校验，是每个调用方一套独立凭证，还是所有人共用一套，共用的做法在多人协作时基本等于没有校验。独立凭证的意思是每一次请求都能追到具体是谁发出来的，追得到人，出了异常才能第一时间定位，定位不到人的时候只能全部停掉，全停的损失往往比异常本身大得多，全部停掉因为停的时候正常业务也停了，停一天就少一天流水，少的那部分没人补给你所以全停只能作为最后手段，前面应该有局部降级，降级比全停温和得多，局部降级要提前设计，设计的时候想清楚哪一部分可以先停，停了之后业务还能跑，校验值要覆盖请求的每一个字段，漏掉哪个字段，哪个字段就能被悄悄改掉，改掉之后接收方还照样收下。

请求内容要能被验证完整性，做法通常是在请求体上算一个校验值，接收方重算一遍，两边不一致就拒收。校验值的作用不是加密，而是防篡改，防的是传输过程中被改动一两个字段，改动之后金额或者比例变了，接收方却照单执行，这种错误在事后几乎无法从日志里看出来，只能靠事前拦，只能靠事前拦，因为事后从日志里看不出哪一笔被改过，日志只记结果不记过程，过程一丢就没有依据所以除了结果日志，还要留一份变更记录，记录谁在什么时候改了什么，变更记录要和发布记录对上，对不上的时候，你无法证明当时的版本是哪一个。

重放和重复请求要专门防，做法是带上时间戳加一个只用一次的随机串，接收方把用过的串记一段时间，重复的直接丢弃。只靠时间戳不够，因为时间窗口内的重放仍然会被接受，接受了就会重复分账，重复分账要么多发要么错发，两种都要人工修，人工修一笔的时间够处理十笔正常业务这个比例在旺季会被放大，放大之后整个团队都会被拖进去，拖进去之后没人做新需求，没人做新需求的时候业务会先出问题，业务会先出问题，因为业务方最怕的是不确定性，而不是慢一点，三种配额要先在测试环境压到上限，看哪一种先触顶，触顶的顺序决定了活动期该优先放开哪一类。

限流和熔断要提前配，按调用方配额、按业务类型配额、按时间段配额，三种配额各定一个值，定完之后压测一次看会不会误伤。误伤的典型表现是活动首日大量请求被拒，被拒之后业务方会以为系统故障，于是重复发起，重复发起又会进一步推高流量，最后变成一个自己制造的雪崩，自己制造的雪崩最难处理，因为流量来源是自己的业务方，你既不能限死他们，也不能放任他们继续重试，放任他们继续重试会让问题变复杂，因为重试本身也在产生新的请求，新请求又会带出新的错账，新的错账一旦产生，处理起来要同时改数据和改凭证，两处都要留痕。

敏感字段要脱敏，账号、姓名、联系方式三类在日志里都不应该出现完整值，出现完整值的日志一旦被导出，就是一次数据泄露。脱敏的做法是保留前后各几位、中间打码，打码之后仍然能用于排查，排查需要的是可比对，不是完整值，很多人误以为要完整值才能查，其实前后几位加时间戳就够定位，全量，全量值在排查里反而会误导，因为你会盯着某一笔看，看久了就忘了整体分布，分布才说明问题，分布才说明问题，单笔只能说明个案，个案往往被当成偶发而放过，个案被当成偶发而放过，是很多事故的共同起点，起点都一样，结局各有各的难，错误码要配一张对照表，表里写清错误码、含义、调用方该做什么，三列写完发给对方，比在群里解释省事。

错误码要能分级，客户端错误、业务规则拒绝、系统异常三类分开，分开之后调用方才知道该重试还是该改参数。混在一起的错误码最坑人，因为调用方只能一律重试，重试对参数错误毫无意义，反而会把流量放大，放大之后真正需要重试的请求反而被限流挡住，挡住的时候问题已经扩散了，扩散之后排查范围会从一处变成一片，从一处变成一片这件事，最考验值班的人，因为他要在十分钟内判断是限流问题还是业务问题，十分钟内判断清楚，靠的是提前写好的判断树，树上只有三层，三层之内必须给出结论给不出就先按最保守的方式处理，保守处理最多慢一点，激进处理可能全停，并行期要定一个截止日，截止之前新旧两套都能用，截止之后旧的要下线，下线的通知提前两周发出去。

版本兼容要留余地，新增字段默认可选、删除字段先标记废弃、重大变更走并行期，三条规则写进对接说明里。不留余地的升级会让所有调用方同时改动，同时改动意味着同时出问题，出问题的时候没有一处是稳定的，连对照都找不到，找不到对照就只能全量回滚，回滚又要再等一个窗口，全量窗口不是随时都有，通常一周才有一次，一周里带着问题跑，跑出来的数据都要重算重算要人、要时间，还要跟每一方解释一遍为什么数变了，为什么数变了这件事，解释一次可以，解释三次之后各方就会要求一份书面说明，书面说明一旦开了头，后面每一次数据变动都会被要求同样一份，工作量会翻着上去。

上线前做一次安全自测，至少覆盖五项，越权调用、篡改金额、重复提交、超量请求、异常参数，五项各跑一遍并记录结果。五项里第三项最容易被漏，因为它在正常测试里不会触发，只有并发或网络抖动时才出现，出现的时候往往已经产生了真实资金变动，变动之后再修已经晚了，的重复提交，只能修数据，修数据要留记录，修数据要留记录，记录里写清原值、新值、依据、批准人，四项缺一项，下一次审计就要重新讲一遍讲一遍要花两天，两天里正常业务还要照常跑所以解释的工作只能挤时间做，挤出来的东西质量都不高。