反向代理零停机切换：从健康检查到连接排空

先定义“没有中断”

零停机不是进程没有退出，而是用户请求在切换窗口内仍然得到正确响应。先记录当前错误率、长连接数量与延迟基线。

让新实例先证明自己

就绪检查应覆盖必要配置、数据库连接和迁移版本。它不能写数据，也不能执行昂贵查询。只有连续通过检查的实例才进入上游。

排空旧连接

先从负载均衡池摘除旧实例，再等待活动请求结束。为 WebSocket 与流式响应设置独立的最长排空时间；超过期限后记录并终止，而不是无限等待。

回滚条件

当错误率、关键接口延迟或业务校验任一越过阈值，立即将流量切回旧版本。回滚动作与告警负责人必须在发布前写清楚。