用 Rust 重写 Java 微服务后，我的真实得失总结

这是什么操作？我把一个叫"Billing-Quotes"、平淡无奇的Java微服务（13个上游）用Rust重写了。p95延迟更低了、CPU更冷静了、内存占用更少了，基础设施账单开始像小冰箱数字那样往下掉。然后CTO叫我带个箱子来。

一出关于"选了不合时宜的技术"的黑色喜剧。

周一我还有工牌。

周二我的工牌成了杯垫。

什么情况？我把那个叫"Billing-Quotes"的、毫不起眼的Java微服务（13个上游）用Rust重构了。p95响应时间缩短了、CPU负载降低了、内存使用更少了，基础设施账单上的数字像坐了滑梯一样往下溜。没过多久CTO就让我收拾东西走人。

这是一场技术正确、决策失误、文化冲突的事后剖析。

如果你也曾在凌晨两点盯着JVM火焰图，幻想着交付一个干净利落的Rust单一二进制——这就是你那令人头大的职场悲喜剧。

现场：看似"有罪"的服务

患者：Spring Boot 3.x，Java 21；双副本；每个2 vCPU / 4 GB RAM
SLO：p95 <120 ms；可用性四个9（和我健身卡一样"立志"）
流量：午间尖峰——批量刷新+用户像"打了浓缩咖啡的啄木鸟"一样猛点Get Quote
性能异味：JSON瞬时高峰引发GC打嗝；"DTO的DTO"善意设计把分配量吹胀
额外阻力：一个"为一致性"而触发一切的网关跳转；以及负责鉴权、指标、零食(?)的sidecar

不是不能跑——只是穿着羽绒服去健身。

痛点：为什么伸手去拿Rust

三个信号在喊"换系统语言"：

• 高扇出I/O：内部gRPC + 话多的支付适配器烘烤JSON路径
• 每一次多余分配都会折返到p99延迟上
• 长尾延迟比吞吐更重要

我搞了个技术验证：用Axum、Tokio、serde、reqwest（gRPC用tonic）、sqlx连Postgres、tracing + OpenTelemetry。镜像容器化并实现每个端点的错误契约，像博物馆藏品一样保留了header，用渐进式的扼杀模式做外壳，从1% → 10% → 50% → 100%切割，不惊动安全团队。

两周金丝雀，同样的流量结构：

• p95：118 ms → 94 ms（稳）
• p99：由刺儿变顺滑（短且少的尖峰）
• 峰值CPU / RPS：降低约30%
• 稳态内存：降低约45%
• 基础设施账单：个位数百分比下降（不是电影桥段，但CFO会笑）
• 启动时间"眨眼即续"，产物小巧，仪表盘无谈到刚好

我有图表。我有文档。我有笑容。很快，我没有了工作。

那场让我"丢剧情"的评审会

开头是乐观的：

• SRE："数字很好看。"
• DevOps："二进制体积可爱。"
• 经理："值班轮换能接住吗？"
• 安全："威胁建模在哪儿？"
• CTO："我们对语言蔓延的政策是什么？"

语言蔓延。我追求的是毫秒；他们担心的是治理——让公司那可预测的安静凝胶保持稳定。

眉头的潜台词：

• 值班素养：我们的Playbook是JVM型 - JFR、heap dump、熟悉的告警。Rust需要新肌肉。

• 招聘与覆盖：凌晨三点，谁能安全下手？
• 我们的板凳深度在Java。安全流水线：SBOM、SAST、许可证校验——全为JVM调了味。
• Rust很棒，我们的链路没准备好。
• 平台一致性：千百个局部胜利，扛不住一个组织级异类。
• 变更周期：我们削了延迟，却加了几周的跨团队工作。

我的技术胜利，成了社会性退步。我把尾巴收好了，却把地图炸了。

四个把"升职"写成"离场"的错误

1) 优化了错误的KPI

死盯p95，领导层在乎交付速度与人员机动性。我的图没动他们的图。

2) 低估了"平均解释时间"

复盘靠共享语言与共享工具。我在一句话中途，引入了新方言。

3) 把工具链债务当"以后再说"

工程师把toil当谜题；组织把toil当风险。我的谜题，是他们的呼叫器。

4) 把"更快更省更稳"误以为"更可预测"

用新语言重写一个服务，是穿着"局部重构"的外衣在宣布一项战略。

Rust到底改变了什么（和没改变什么）

真的改变了：

• 堆内存博弈 → 所有权清晰
• 烧烤的JSON路径不再像肥皂剧一样分配
• 尾延迟：更少的GC方差；更少"p99在尖叫"的时刻
• 启动与空转足迹：冷启动与缩容至零的博弈更轻松

没改变（抱歉）：

• 数据库：如果你的瓶颈是Java里的Postgres，换Rust后它还是Postgres——只是生命周期干净了
• 跨团队牵线：新栈 → 新工具 → 新人要训练
• 功能上线速度：如果产品逻辑占大头，语言速度不等于出货速度

好笑的部分

财务刚发来账单好转的喜讯，安全就问谁批准了新SBOM流水线。PM问这会不会影响Q4促销。SRE问eBPF闹脾气时怎么on-box调试。CTO问还有多少服务会"受益于Rust"。

实话实说："大概一握手，五个以内。"他点头："我爱工艺，我不爱先例。"

事实证明：先例的分量，比二进制还重。周五，我的工牌滴——红了。

更好的路线图（我本该这么干）

如果你对Rust手痒（有时值得），请按这套无聊但正确的顺序来：

1. 申请一条"运行时例外"通道：一页纸、一个季度、一个服务
2. 准入标准：量化的SLO痛点、可隔离的热路径、成熟库、可回滚计划、以及达不到就日落的条件
3. 先上sidecar，不要重写把一个热路径（序列化、加密、图像处理）剥离成同机Rust边车，Java仍是老大
4. 让平台团队拥有工具链争取小额立项：SBOM、SAST、签名、追踪规范、崩溃捕获、仪表盘
5. 平台点了点头，你是公民，不是游击
6. 把"可观测性"当"契约"写代码前，先锁定日志格式、Trace ID、错误分类、仪表盘
7. "看起来一样，跑得更好"才是容易过关的叙事
8. 扼杀模式 + 业务级开关从一个端点起步
9. 用开关或Envoy路由前滚/回滚
10. 回滚要以分钟计，而不是开会计
11. Day 1就发布"删除计划"，能删除才是实验的灵魂

没行话的复盘

做得好

• 渐进式迁移设计
• 度量清晰
• 可逆且结果可重现

做坏了

• 性能压过了可预测性
• 未融资的工具与培训
• 把治理当作"别人的Jira"

  下次要这样（也许永不）

  1. 先sidecar，后重写
  2. 让平台拥有安全与SBOM流水线
  3. 代码前要有策略，不要在PR里偷带战略

  一个袖珍Go/No-Go清单（拿走就用）

  • SLO痛点已量化且业务可见
  • 热路径可被隔离
  • 平台已买入：SBOM / SAST / 签名 / 追踪
  • 值班素养：至少4人能在凌晨三点安全排障
  • 分级回滚删除计划已批准

  把它贴在键盘边。对不起没对齐就先跳去调GC了。