• 必须保证消息的可靠性，即：消息应该至少被消费者消费一次
  • 保证MQ的可靠性，就必须从3个方面入手：
    • 确保生产者一定把消息发送到MQ
    • 确保MQ不会将消息弄丢
    • 确保消费者一定要处理消息

1. 发送者的可靠性

1.1 生产者重试机制

在生产者的application.yml中添加下面的内容，当 RabbitTemplate与MQ连接超时后，将多次重试

spring:
  rabbitmq:
    connection-timeout: 1s # 设置MQ的连接超时时间
    template:
      retry:
        enabled: true # 开启超时重试机制
        initial-interval: 1000ms # 失败后的初始等待时间
        multiplier: 1 # 失败后下次的等待时长倍数，下次等待时长 = initial-interval * multiplier
        max-attempts: 3 # 最大重试次数

1.2 生产者确认机制

RabbitMQ提供了生产者消息确认机制，包括Publisher Confirm和Publisher Return两种。在开启确认机制的情况下，当生产者发送消息给MQ后，MQ会根据消息处理的情况返回不同的回执。

具体如图所示：

1 (1)

总结如下：

  • 当消息投递到MQ，但是路由失败时，通过Publisher Return返回异常信息，同时返回ack的确认信息，代表投递成功
  • 临时消息投递到了MQ，并且入队成功，返回ACK，告知投递成功
  • 持久消息投递到了MQ，并且入队完成持久化，返回ACK ，告知投递成功
  • 其它情况都会返回NACK，告知投递失败

其中ack和nack属于Publisher Confirm机制，ack是投递成功；nack是投递失败。而return则属于Publisher Return机制。

默认两种机制都是关闭状态，需要通过配置文件来开启。

1.3 实现生产者确认

1.3.1 开启生产者确认

在生产者的application.yml文件中添加如下的配置：

spring:
  rabbitmq:
    publisher-confirm-type: correlated # 开启publisher confirm机制，并设置confirm类型
    publisher-returns: true # 开启publisher return机制

这里publisher-confirm-type有三种模式可选：

  • none：关闭confirm机制
  • simple：同步阻塞等待MQ的回执
  • correlated：MQ异步回调返回回执

一般我们推荐使用correlated，回调机制。

1.3.2 定义ReturnCallback

@Slf4j  
@AllArgsConstructor  
@Configuration  
public class MqConfig {  
    private final RabbitTemplate rabbitTemplate;  
  
    @PostConstruct  
    public void init() {  
        rabbitTemplate.setReturnsCallback(returnedMessage -> {  
            log.error("触发return callback,");  
            log.debug("exchange: {}", returnedMessage.getExchange());  
            log.debug("routingKey: {}", returnedMessage.getRoutingKey());  
            log.debug("message: {}", returnedMessage.getMessage());  
            log.debug("replyCode: {}", returnedMessage.getReplyCode());  
            log.debug("replyText: {}", returnedMessage.getReplyText());  
        });  
    }  
}

1.3.3 定义ConfirmCallback

由于每个消息发送时的处理逻辑不一定相同，因此ConfirmCallback需要在每次发消息时定义。具体来说，是在调用RabbitTemplate中的convertAndSend方法时，多传递一个 CorrelationData：

这里的CorrelationData中包含两个核心的东西：

  • id：消息的唯一标示，MQ对不同的消息的回执以此做判断，避免混淆
  • SettableListenableFuture：回执结果的Future对象

将来MQ的回执就会通过这个Future来返回，我们可以提前给CorrelationData中的Future添加回调函数来处理消息回执。

测试：

@Test  
public void testPublisherConfirm() throws InterruptedException {  
    // 1. 创建CorrelationData  
    CorrelationData cd = new CorrelationData(UUID.randomUUID().toString());  
    // 2. 给Future添加ConfirmCallback  
    cd.getFuture().addCallback(new ListenableFutureCallback<CorrelationData.Confirm>() {  
        @Override  
        public void onFailure(Throwable ex) {  
            // 2.1 Future发生异常时的处理逻辑，基本不会发生  
            log.error("send message fail", ex);  
        }  
  
        @Override  
        public void onSuccess(CorrelationData.Confirm result) {  
            // 2.2.Future接收到回执的处理逻辑，参数中的result就是回执内容  
            if(result.isAck()){  
                log.debug("发送消息成功，收到 ack!");  
            }else{  
                log.error("发送消息失败，收到 nack, reason : {}", result.getReason());  
            }  
        }  
    });  
  
    // 3. 发送消息  
    String exchange = "hmall.direct";  
    rabbitTemplate.convertAndSend(exchange, "black", "blue");  
    Thread.sleep(2000); // 由于回执实在结束后发送，而此时单元测试已经停止，因此需要线程休眠  
}
  • ReturnCallback属于Publisher Return机制
  • 当消息投递到MQ，但是路由失败时，才会调用 setReturnsCallback()

2. MQ的可靠性

默认情况下MQ的数据存储在内存中，为了避免重启等原因导致的数据丢失，需要配置数据持久化。

MQ的数据持久化包括：

  1. 交换机的持久化
    • Durable 持久化模式
    • Transient 临时模式
  2. 队列的持久化
    • Durable 持久化模式
    • Transient 临时模式
  3. 消息的持久化
    • Non-persistent 临时模式
    • Persistent 持久化模式

注意：

在开启持久化机制后，如果同时还开启了生产者确认机制，那么MQ会在消息持久化后才发送ACK回执，进一步确保消息的可靠性。

不过处于性能的考虑，为了减少IO次数，发送到MQ的消息并不是逐条持久化到数据库的，而是每隔一段时间批量持久化。一般间隔在100毫秒左右，这就导致ACK有一定的延迟，因此建议生产者确认全部采用异步的方式。

LazyQueue

由于消费者可能出现宕机、处理业务发生阻塞、业务量激增，消费者处理不及等原因，将导致消息堆积，使RabbitMQ的内存占用越来越高，当触及内存预警上线时，RabbitMQ会将内存消息写入磁盘，称这个行为为PageOut。写入磁盘的过程将阻塞队列，MQ将不再处理新的消息，生产者所有请求都将被阻塞。

为了解决这个问题，可以使用Lazy Queue的模式，有以下特征：

  • 接收消息后，直接存入磁盘而非内存
  • 消费者要消费消息时，才会从磁盘中读取并加载到内存
  • 支持数百万台哦消息的存储

代码配置Lazy模式的几种方式

  • QueueBuilder
@Bean
public Queue lazyQueue() {
	return QueueBuilder
		.durable("lazy.queue")
		.lazy()
		.bulid();
}
  • 注解
@RabbitListener(bindings = @QueueBinding(  
        value = @Queue(name = "lazy.queue",   
					durable = "true",   
					arguments = @Argument(name = "x-queue-mode", value = "lazy")  
        ),  
        exchange = @Exchange(name = "hmall.direct", type = ExchangeTypes.DIRECT),  
        key = "blue"  
))  
public void listenLazyQueue(String msg) {  
    log.info("消息：{}", msg);  
}

3. 消费者的可靠性

消息投递给消费者并不代表一并被正确消费了，比如出现网络故障，消费者接收消息后宕机等，一旦发生，就会导致消息丢失。因此，RabbitMQ需要知道消费者的处理状态，一旦消息处理失败就重新投递。

3.1 消费者确认机制

RabbitMQ提供了消费者确认机制，当消费者处理结束后，会向MQ发送回执。

回执的三种类型：

  • ack：成功处理消息，RabbitMQ从队列删除消息
  • nack：消息处理失败，RabbitMQ需要重新投递该消息
  • reject：消息处理失败并拒绝该消息，RabbitMQ从队列删除消息

一般reject方式用的较少，除非是消息格式有问题，那就是开发问题了。因此大多数情况下我们需要将消息处理的代码通过try catch机制捕获，消息处理成功时返回ack，处理失败时返回nack.

由于消息回执的处理代码比较统一，因此SpringAMQP帮我们实现了消息确认。并允许我们通过配置文件设置ACK处理方式，有三种模式：

  • none：不处理。即消息投递给消费者后立刻ack，消息会立刻从MQ删除。非常不安全，不建议使用
  • manual：手动模式。需要自己在业务代码中调用api，发送ack或reject，存在业务入侵，但更灵活
  • auto：自动模式。SpringAMQP利用AOP对我们的消息处理逻辑做了环绕增强，当业务正常执行时则自动返回ack. 当业务出现异常时，根据异常判断返回不同结果：
    • 如果是业务异常，会自动返回nack；
    • 如果是消息处理或校验异常，自动返回reject;

通过下面的配置可以修改Spring AMQP的ack处理方式：

spring:
  rabbitmq:
    listener:
      simple:
        acknowledge-mode: none # 不做处理

3.2 失败重试机制

当消费者出现异常后，消息会不断requeue到队列，在重新发送给消费者。如果消费者再次执行依然出错，消息会再次requeue到队列，再次投递，直到消息处理成功为止。

极端情况就是消费者一直无法执行成功，那么消息requeue就会无线循环。

为了应对上述的情况，Spring AMQP提供了消费者失败重试机制，在消费者出现异常时利用本地重试，而不是无限制的requeue到mq队列。

通过下面的配置开启失败重试机制：

spring:
  rabbitmq:
    listener:
      simple:
        retry:
          enabled: true # 开启消费者失败重试
          initial-interval: 1000ms # 初识的失败等待时长为1秒
          multiplier: 1 # 失败的等待时长倍数，下次等待时长 = multiplier * last-interval
          max-attempts: 3 # 最大重试次数
          stateless: true # true无状态；false有状态。如果业务中包含事务，这里改为false
  • 开启本地重试时，消息处理过程中抛出异常，不会requeue到队列，而是在消费者本地重试
  • 重试达到最大次数后，Spring会返回reject，消息会被丢弃

3.3 失败处理策略

在之前的测试中，本地测试达到最大重试次数后，消息会被丢弃。这在某些对于消息可靠性要求较高的业务场景下，显然不太合适了。

因此Spring允许我们自定义重试次数耗尽后的消息处理策略，这个策略是由MessageRecovery接口来定义的，它有3个不同实现：

  • RejectAndDontRequeueRecoverer：重试耗尽后，直接reject，丢弃消息。默认就是这种方式
  • ImmediateRequeueMessageRecoverer：重试耗尽后，返回nack，消息重新入队
  • RepublishMessageRecoverer：重试耗尽后，将失败消息投递到指定的交换机

比较优雅的一种处理方案是RepublishMessageRecoverer，失败后将消息投递到一个指定的，专门存放异常消息的队列，后续由人工集中处理。

@Configuration  
@ConditionalOnProperty(name = "spring.rabbitmq.listener.simple.retry.enabled", havingValue = "true")  
public class ErrorMessageConfig {  
    @Bean  
    public DirectExchange errorMessageExchange() {  
        return new DirectExchange("error.direct");  
    }  
  
    @Bean  
    public Queue errorQueue() {  
        return new Queue("error.queue", true);  
    }  
  
    @Bean  
    public Binding errorBinding(Queue errorQueue, DirectExchange errorMessageExchange) {  
        return BindingBuilder.bind(errorQueue).to(errorMessageExchange).with("error");  
    }  
  
    @Bean  
    public MessageRecoverer republishMessageRecover(RabbitTemplate rabbitTemplate) {  
        return new RepublishMessageRecoverer(rabbitTemplate, "error.direct", "error");  
    }  
}

3.4 业务幂等性

何为幂等性？

幂等是一个数学概念，用函数表达式来描述是这样的：f(x) = f(f(x))，例如求绝对值函数。
在程序开发中，则是指同一个业务，执行一次或多次对业务状态的影响是一致的。例如：

  • 根据id删除数据
  • 查询数据
  • 新增数据

但数据的更新往往不是幂等的，如果重复执行可能造成不一样的后果。比如：

  • 取消订单，恢复库存的业务。如果多次恢复就会出现库存重复增加的情况
  • 退款业务。重复退款对商家而言会有经济损失。

所以，我们要尽可能避免业务被重复执行。

然而在实际业务场景中，由于意外经常会出现业务被重复执行的情况，例如：

  • 页面卡顿时频繁刷新导致表单重复提交
  • 服务间调用的重试
  • MQ消息的重复投递

我们在用户支付成功后会发送MQ消息到交易服务，修改订单状态为已支付，就可能出现消息重复投递的情况。如果消费者不做判断，很有可能导致消息被消费多次，出现业务故障。

举例：

  1. 假如用户刚刚支付完成，并且投递消息到交易服务，交易服务更改订单为已支付状态。
  2. 由于某种原因，例如网络故障导致生产者没有得到确认，隔了一段时间后重新投递给交易服务。
  3. 但是，在新投递的消息被消费之前，用户选择了退款，将订单状态改为了已退款状态。
  4. 退款完成后，新投递的消息才被消费，那么订单状态会被再次改为已支付。业务异常。

因此，我们必须想办法保证消息处理的幂等性。这里给出两种方案：

  • 唯一消息ID
  • 业务状态判断

3.4.1.唯一消息ID

这个思路非常简单：

  1. 每一条消息都生成一个唯一的id，与消息一起投递给消费者。
  2. 消费者接收到消息后处理自己的业务，业务处理成功后将消息ID保存到数据库
  3. 如果下次又收到相同消息，去数据库查询判断是否存在，存在则为重复消息放弃处理。

我们该如何给消息添加唯一ID呢？

其实很简单，SpringAMQP的MessageConverter自带了MessageID的功能，我们只要开启这个功能即可。

以Jackson的消息转换器为例：

@Bean
public MessageConverter messageConverter(){
    // 1.定义消息转换器
    Jackson2JsonMessageConverter jjmc = new Jackson2JsonMessageConverter();
    // 2.配置自动创建消息id，用于识别不同消息，也可以在业务中基于ID判断是否是重复消息
    jjmc.setCreateMessageIds(true);
    return jjmc;
}

3.4.2.业务判断

业务判断就是基于业务本身的逻辑或状态来判断是否是重复的请求或消息，不同的业务场景判断的思路也不一样。

例如我们当前案例中，处理消息的业务逻辑是把订单状态从未支付修改为已支付。因此我们就可以在执行业务时判断订单状态是否是未支付，如果不是则证明订单已经被处理过，无需重复处理。

相比较而言，消息ID的方案需要改造原有的数据库，所以我更推荐使用业务判断的方案。

以支付修改订单的业务为例，我们需要修改OrderServiceImpl中的markOrderPaySuccess方法：

    @Override
    public void markOrderPaySuccess(Long orderId) {
        // 1.查询订单
        Order old = getById(orderId);
        // 2.判断订单状态
        if (old == null || old.getStatus() != 1) {
            // 订单不存在或者订单状态不是1，放弃处理
            return;
        }
        // 3.尝试更新订单
        Order order = new Order();
        order.setId(orderId);
        order.setStatus(2);
        order.setPayTime(LocalDateTime.now());
        updateById(order);
    }

上述代码逻辑上符合了幂等判断的需求，但是由于判断和更新是两步动作，因此在极小概率下可能存在线程安全问题。

我们可以合并上述操作为这样：

@Override
public void markOrderPaySuccess(Long orderId) {
    // UPDATE `order` SET status = ? , pay_time = ? WHERE id = ? AND status = 1
    lambdaUpdate()
            .set(Order::getStatus, 2)
            .set(Order::getPayTime, LocalDateTime.now())
            .eq(Order::getId, orderId)
            .eq(Order::getStatus, 1)
            .update();
}

注意看，上述代码等同于这样的SQL语句：

UPDATE `order` SET status = ? , pay_time = ? WHERE id = ? AND status = 1

我们在where条件中除了判断id以外，还加上了status必须为1的条件。如果条件不符（说明订单已支付），则SQL匹配不到数据，根本不会执行。

3.5 兜底方案

虽然我们利用各种机制尽可能增加了消息的可靠性，但也不好说能保证消息100%的可靠。万一真的MQ通知失败该怎么办呢？

有没有其它兜底方案，能够确保订单的支付状态一致呢？

其实思想很简单：既然MQ通知不一定发送到交易服务，那么交易服务就必须自己主动去查询支付状态。这样即便支付服务的MQ通知失败，我们依然能通过主动查询来保证订单状态的一致。

流程如下：

Pasted image 20250227142313

图中黄色线圈起来的部分就是MQ通知失败后的兜底处理方案，由交易服务自己主动去查询支付状态。

不过需要注意的是，交易服务并不知道用户会在什么时候支付，如果查询的时机不正确（比如查询的时候用户正在支付中），可能查询到的支付状态也不正确。

那么问题来了，我们到底该在什么时间主动查询支付状态呢？

这个时间是无法确定的，我们可以采用延迟消息的方式，让交易服务主动查询支付服务。

综上，支付服务与交易服务之间的订单状态一致性是如何保证的？

  • 首先，支付服务会正在用户支付成功以后利用MQ消息通知交易服务，完成订单状态同步。
  • 其次，为了保证MQ消息的可靠性，我们采用了生产者确认机制、消费者确认、消费者失败重试等策略，确保消息投递的可靠性
  • 最后，使用延迟消息作为兜底方案，使用使用交换机或延迟交换机的方式，让交易服务主动查询支付服务，确保订单支付状态的最终一致性。

4. 延迟消息

在电商的支付业务中，对于一些库存有限的商品，为了更好的用户体验，通常都会在用户下单时立刻扣减商品库存。例如电影院购票、高铁购票，下单后就会锁定座位资源，其他人无法重复购买。

但是这样就存在一个问题，假如用户下单后一直不付款，就会一直占有库存资源，导致其他客户无法正常交易，最终导致商户利益受损！

因此，电商中通常的做法就是：对于超过一定时间未支付的订单，应该立刻取消订单并释放占用的库存。

例如，订单支付超时时间为30分钟，则我们应该在用户下单后的第30分钟检查订单支付状态，如果发现未支付，应该立刻取消订单，释放库存。

但问题来了：如何才能准确的实现在下单后第30分钟去检查支付状态呢？

像这种在一段时间以后才执行的任务，我们称之为延迟任务，而要实现延迟任务，最简单的方案就是利用MQ的延迟消息了。

在RabbitMQ中实现延迟消息也有两种方案：

  • 死信交换机+TTL
  • 延迟消息插件

这一章我们就一起研究下这两种方案的实现方式，以及优缺点。

4.1 死信交换机和延迟消息

首先我们来学习一下基于死信交换机的延迟消息方案。

4.1.1.死信交换机

什么是死信？
当一个队列中的消息满足下列情况之一时，可以成为死信（dead letter）：

  • 消费者使用basic.reject或 basic.nack声明消费失败，并且消息的requeue参数设置为false
  • 消息是一个过期消息，超时无人消费
  • 要投递的队列消息满了，无法投递

如果一个队列中的消息已经成为死信，并且这个队列通过**dead-letter-exchange属性指定了一个交换机，那么队列中的死信就会投递到这个交换机中，而这个交换机就称为死信交换机**（Dead Letter Exchange）。而此时加入有队列与死信交换机绑定，则最终死信就会被投递到这个队列中。

死信交换机有什么作用呢？

  1. 收集那些因处理失败而被拒绝的消息
  2. 收集那些因队列满了而被拒绝的消息
  3. 收集因TTL（有效期）到期的消息

4.1.2.延迟消息

前面两种作用场景可以看做是把死信交换机当做一种消息处理的最终兜底方案，与消费者重试时讲的RepublishMessageRecoverer作用类似。

而最后一种场景，大家设想一下这样的场景：

如图，有一组绑定的交换机（ttl.fanout）和队列（ttl.queue）。但是ttl.queue没有消费者监听，而是设定了死信交换机hmall.direct，而队列direct.queue1则与死信交换机绑定，RoutingKey是blue：

假如我们现在发送一条消息到ttl.fanout，RoutingKey为blue，并设置消息的有效期为5000毫秒：

注意：尽管这里的ttl.fanout不需要RoutingKey，但是当消息变为死信并投递到死信交换机时，会沿用之前的RoutingKey，这样hmall.direct才能正确路由消息。

消息肯定会被投递到ttl.queue之后，由于没有消费者，因此消息无人消费。5秒之后，消息的有效期到期，成为死信：

死信被再次投递到死信交换机hmall.direct，并沿用之前的RoutingKey，也就是blue：

由于direct.queue1与hmall.direct绑定的key是blue，因此最终消息被成功路由到direct.queue1，如果此时有消费者与direct.queue1绑定， 也就能成功消费消息了。但此时已经是5秒钟以后了：

也就是说，publisher发送了一条消息，但最终consumer在5秒后才收到消息。我们成功实现了延迟消息。

4.2 DelayExchange插件

基于死信队列虽然可以实现延迟消息，但是太麻烦了。因此RabbitMQ社区提供了一个延迟消息插件来实现相同的效果。

下载地址：Delayed Messaging for RabbitMQ

查看rabbit mq 插件文件夹位置：

rabbitmq-plugins directories -s

启用DelayExchange插件

rabbitmq-plugins enable rabbitmq_delayed_message_exchange

消息发送：

@Test  
public void testDelayMessage() {  
    rabbitTemplate.convertAndSend("delay.direct", "delay", "hello, delay", new MessagePostProcessor() {  
        @Override  
        public Message postProcessMessage(Message message) throws AmqpException {  
            // 添加延迟消息树形  
            message.getMessageProperties().setDelay(10000);  
            LocalDateTime now = LocalDateTime.now();  
            DateTimeFormatter formatter = DateTimeFormatter.ofPattern("yyyy/MM/dd HH:mm:ss");  
            String date = formatter.format(now);  
            System.out.println(date);  
            return message;  
        }  
    });
}

消息接收：

@RabbitListener(bindings = @QueueBinding(  
        value = @Queue(name = "delay.queue", durable = "true"),  
        exchange = @Exchange(name = "delay.direct", delayed = "true"),  
        key = "delay"  
))  
public void listenDelayMessage(String msg) {  
    LocalDateTime now = LocalDateTime.now();  
    DateTimeFormatter formatter = DateTimeFormatter.ofPattern("yyyy/MM/dd HH:mm:ss");  
    String date = formatter.format(now);  
    System.out.println(date);  
    log.info("接收到延迟消息： {}", msg);  
}

Bean声明DealyExchange

@Slf4j
@Configuration
public class DelayExchangeConfig {

    @Bean
    public DirectExchange delayExchange(){
        return ExchangeBuilder
                .directExchange("delay.direct") // 指定交换机类型和名称
                .delayed() // 设置delay的属性为true
                .durable(true) // 持久化
                .build();
    }

    @Bean
    public Queue delayedQueue(){
        return new Queue("delay.queue");
    }
    
    @Bean
    public Binding delayQueueBinding(){
        return BindingBuilder.bind(delayedQueue()).to(delayExchange()).with("delay");
    }
}