Vibe Coding 外部调用保护：协调限流、退避重试与熔断

集成开始超时后，让 AI “加指数退避和熔断”可能在 HTTP 库、SDK wrapper、任务队列和 API handler 各加一层重试。每层重试三次会把一次用户操作放大成许多远端请求；同时，熔断器把主动限流造成的 429 也算作服务故障，所有租户一起被挡住。单个模式都正确，组合却失控。

API 限流策略介绍令牌桶等算法。本篇从调用方出发，把准入、超时、重试和熔断放进一份策略：先决定请求是否值得发，发出后最多等待多久，失败后是否还有预算再次尝试，以及何时用探针确认恢复。

先建立总 deadline 与容量账

每次业务操作携带绝对 deadline，外部调用从剩余时间中预留连接、读取和后续处理预算。没有 timeout 的 SDK 不可直接进入生产；只设置单次请求 timeout 也不够，因为排队和多次退避会超过用户期限。下游取消时停止尚未发出的重试，并尽力取消在途请求。

本地 limiter 以供应商账户、operation 和必要租户维度建模，限制请求速率与并发。供应商若返回可用的配额 header 或 Retry-After，按官方语义解析并更新短期准入；header 缺失时使用保守配置，不能让 AI 猜一个“合理 QPS”。多实例共享一份配额时，需要集中协调或按实例分片，并为扩缩容重新分配。

配额公平可借鉴分布式限流预留与退款：请求发出前预留，确定未发送时退款，未知结果不能随意退回。这样热门租户不会耗尽所有容量，也不会因为失败重试绕过原始配额。

并发上限和速率上限解决不同问题。一个慢接口即使每秒请求不多，也可能积累大量在途连接；使用 semaphore/bulkhead 限制并发，并为不同 operation 或优先级划分舱室。队列必须有界，等待超过 deadline 直接拒绝或降级，不能无限堆积后制造过期请求。

重试只发生在一个责任层

列出 SDK、HTTP 客户端、服务方法、工作流和上游网关的默认重试，指定唯一 owner。其余层关闭自动重试或只负责传播可重试分类。AWS Builders' Library 强调 timeout、有限重试、指数退避与 jitter 的组合，也提醒重试会增加已过载服务的负担。

重试判定基于语义：连接建立前失败通常可重试；429 和部分 5xx 可按供应商指示重试；认证、权限、请求校验通常应停止；读超时或提交后断连属于未知结果。写操作只有具备稳定幂等键、查询状态或补偿方案时才能自动重试，详见API 幂等设计。

指数退避设基础间隔、倍率、最大间隔、最大次数和总时长，并加入 full jitter 或协议规定的抖动。随机源可在测试中注入，生产实例不要同种子同步醒来。尊重 Retry-After 时仍受总 deadline 和最大等待限制；不可信或异常大的 header 需钳制并记录。

重试预算按最初请求计数，而不是每层各有预算。可规定一个窗口内额外尝试占首次请求的有限比例；预算耗尽后快速失败，让系统有机会恢复。后台任务和交互请求使用不同 deadline，但共享供应商容量，不能让离线批处理挤掉用户操作。

熔断器只统计真正的依赖故障

熔断状态为 closed、open、half-open。closed 中按滑动窗口观察符合条件的错误和最小样本；达到阈值后 open，短路一段时间；half-open 只放少量探针，成功再逐步恢复，失败重新打开。Microsoft 的 Circuit Breaker 模式文档强调它与 retry 目的不同：retry 希望某次调用最终成功，circuit breaker 防止持续调用已知故障依赖。

分类决定熔断质量。调用者自己的 400、无权限 403、主动取消和本地 limiter 拒绝不应证明供应商故障；429 可能代表账户配额，需要进入限流冷却而非全局服务熔断；网络错误、超时和 5xx 才按策略计入。作用域通常按供应商 endpoint、账户、region 或 operation 划分，不能让一个租户的坏凭证熔断所有用户。

open 时要有明确行为：读取可返回有时效标记的缓存，异步写可进入有界队列，关键写则快速失败并提示稍后重试。降级不得伪造成功，也不能绕过授权或一致性。恢复顺序可参考Agent 故障恢复顺序，先确认依赖，再逐步放量，最后消化积压。

用时间轴和故障注入验收

使用可控时钟和伪随机源测试：连续 429 带不同 Retry-After、一段 500 后恢复、连接超时、提交后断连、慢响应占满 bulkhead、half-open 探针并发、实例扩容。断言总尝试数、最大等待、幂等键复用、熔断作用域和最终错误类别，而不是只断言“函数抛错”。

监控首次请求与重试请求分开计数，观察 limiter 拒绝、排队时间、在途并发、重试预算、各原因错误、熔断状态变化、half-open 结果和降级命中。供应商调用 token 或成本配额还可结合AI 应用限流与配额，但业务指标不得包含原始 Prompt 或密钥。

给 AI 的输入应是一张失败分类表和一条完整 deadline 时间轴，输出则是单一调用策略、可注入时钟和测试。不要分别提示“加 retry”“加 limiter”“加 circuit breaker”。只有三者共享错误分类、容量和预算，保护机制才会在依赖变慢时减少压力，而不是把一次故障放大。