灰度发布

背景 做了 10 年运维，从 3 人小团队到 200 人 SRE 组织都待过，主持过上百次发布。有一个话题每次发布评审都要吵，而且每次吵完都"各打五十大板"——灰度到底灰多少、观察多久、什么信号触发自动回滚？ 我见过三种典型做法： - 激进

背景 做了 15 年测试开发，我最近在一个 12 人后端团队做发布质量复盘时，撞上一堵反复出现的墙：过去 18 个月，团队接口自动化从 600 条涨到 2100 条，CI 全绿率长期 95%+，单测覆盖率 78%，但同期线上 P1/P2 事

背景 上个月我们团队一个 B 端 SaaS 前端发版出了点事：灰度 10% 放量后第 4 分钟，一个路由守卫的竞态 bug 导致部分用户进不去"订单中心"页面。但当时没有任何人盯着灰度大盘——QA 回归在发版前已经跑完了，开发同学发完就切到

«结论先行：「按 uid 尾号分桶灰度」本身没错，错的是把灰度桶当成「随机抽样」去读指标。尾号分桶在真实业务里几乎必然是非随机的——老用户、高活用户、特定地区/机型用户的 uid 分布高度集中在某些尾号段，导致 5% 灰度桶里装的根本不是「

«结论先行：feature flag 不是"代码里的布尔值"，它是"一条没被任何人正式退役的执行路径"。我们团队 18 个月里 feature flag 从 47 个涨到 312 个，其中 194 个（62.2%）实际上已经没有任何流量走旧

«结论先行：特性开关（feature flag）不是「代码开关」，它是一次隐性的执行计划变更。当你把 flag 从 0 切到 1 的那一刻，SQL 走的索引、JOIN 的表、缓存的 key 全变了——而这一层变化，绝大多数团队的变更流程完全