微服务架构下，单个服务的升级频率往往远高于单体应用。如果每次发布都采用先停旧实例再启动新实例的方式，那么在停止旧实例的瞬间，正在处理的请求会直接失败，新实例又尚未就绪，整个服务会出现明显的不可用窗口。滚动更新的目标就是把这个窗口压缩到几乎不可感知：通过分批替换实例，让新旧版本短暂共存，再借助健康检查和流量摘除，确保只有就绪的实例才能接收请求。
滚动更新不是某个框架的专利，它需要服务本身、注册中心、负载均衡器和部署平台协同工作。在Golang里实现滚动更新，主要依赖几个基础能力：服务能上报健康状态、能优雅处理关闭信号、能在退出前完成必要的清理工作。下面先从这些基础组件讲起，再分别给出在Kubernetes和Consul+Nginx环境中的落地方案。
一、滚动更新需要哪些基础组件
滚动更新的第一步是让系统知道哪些实例可用。微服务通常会把实例注册到注册中心，例如Consul、etcd或Eureka。实例启动后向注册中心写入自己的地址，并定期上报心跳；实例停止时主动注销。如果实例异常退出，注册中心通过心跳超时将其剔除。这一机制在Golang中可以通过官方或社区提供的SDK来实现，比如Consul的Go客户端，也可以自己基于HTTP接口封装一个轻量注册组件。
健康检查是滚动更新的第二个支柱。注册中心只会保留健康状态正常的实例，负载均衡器也只会把流量转发给这些实例。Golang服务应该暴露一个独立的健康检查端点，例如/health，供Kubernetes探针或注册中心调用。该端点需要返回当前服务的真实状态，不能只返回固定的200。如果服务依赖数据库、消息队列等外部资源，健康检查可以包含这些依赖的连通性判断，但要注意不要让健康检查本身变得过重，否则会拖慢实例就绪时间。
优雅关闭是整个流程中最容易被忽视却最关键的一环。当部署平台决定替换一个实例时，它会先发送SIGTERM信号。Golang的http.Server提供了Shutdown方法，可以让服务器停止接收新连接，同时等待已经进入的请求处理完成，再关闭底层监听。如果服务在收到信号后立即退出，尚未处理完的请求就会被强制中断，滚动更新也就失去了意义。因此每个Golang微服务都应该在main函数中监听系统信号，并执行带超时的优雅关闭。
二、Golang优雅关闭与健康检查实现
下面这段代码展示了一个最简可用的Golang HTTP服务，它包含/health健康检查端点和优雅关闭逻辑。启动后，服务会正常运行并处理/api请求；当收到SIGINT或SIGTERM信号时，触发srv.Shutdown，给正在执行的请求最多30秒的处理时间。
package main
import (
"context"
"fmt"
"net/http"
"os"
"os/signal"
"syscall"
"time"
)
func main() {
mux := http.NewServeMux()
mux.HandleFunc("/health", healthHandler)
mux.HandleFunc("/api", apiHandler)
srv := &http.Server{
Addr: ":8080",
Handler: mux,
}
go func() {
if err := srv.ListenAndServe(); err != nil && err != http.ErrServerClosed {
fmt.Printf("listen error: %v\n", err)
os.Exit(1)
}
}()
quit := make(chan os.Signal, 1)
signal.Notify(quit, syscall.SIGINT, syscall.SIGTERM)
<-quit
ctx, cancel := context.WithTimeout(context.Background(), 30*time.Second)
defer cancel()
if err := srv.Shutdown(ctx); err != nil {
fmt.Printf("forced shutdown: %v\n", err)
}
fmt.Println("server exited gracefully")
}
func healthHandler(w http.ResponseWriter, r *http.Request) {
w.Header().Set("Content-Type", "application/json")
w.WriteHeader(http.StatusOK)
fmt.Fprint(w, `{"status":"ok"}`)
}
func apiHandler(w http.ResponseWriter, r *http.Request) {
time.Sleep(2 * time.Second)
fmt.Fprint(w, "hello from version v2")
}
这段代码的核心在于signal.Notify捕获系统信号，以及srv.Shutdown的调用。如果没有Shutdown，服务会在信号到达后立刻退出，所有正在处理的apiHandler请求都会中断。实际生产环境中，可能还需要在Shutdown之前主动从注册中心注销实例，并等待一小段时间让负载均衡器完成流量摘除。这个等待时间可以通过配置项控制，通常设置为5到10秒即可。
健康检查端点则应该返回JSON响应和明确的HTTP状态码。Kubernetes的readinessProbe会周期性地请求该端点，只有当连续多次返回200时，新实例才会被加入Service的可用端点列表。反过来，如果实例在关闭前主动把/health改成返回503，负载均衡器就会提前把流量切走，避免请求再进入即将停止的实例。不过这种方式需要额外实现状态切换逻辑，实际项目中更常见的做法是依赖注册中心注销和preStop钩子。
三、在Kubernetes中配置滚动更新策略
Kubernetes的Deployment原生支持滚动更新，并且可以通过strategy字段精细控制更新过程。maxSurge表示更新期间允许超出期望副本数的最大数量，maxUnavailable表示允许不可用的最大副本数。将maxUnavailable设为0可以确保整个更新过程中始终有足量实例在提供服务，但需要集群有额外资源来容纳maxSurge创建的新实例。
下面是一个完整的Deployment配置示例，其中readinessProbe指向Golang服务的/health端点，livenessProbe用于检测服务是否已经彻底卡死。preStop钩子让容器在收到SIGTERM前先执行10秒的睡眠，为注册中心注销和流量摘除留出缓冲时间。
apiVersion: apps/v1
kind: Deployment
metadata:
name: user-service
spec:
replicas: 3
strategy:
type: RollingUpdate
rollingUpdate:
maxSurge: 1
maxUnavailable: 0
selector:
matchLabels:
app: user-service
template:
metadata:
labels:
app: user-service
spec:
terminationGracePeriodSeconds: 40
containers:
- name: app
image: registry.ipipp.com/user-service:v2
ports:
- containerPort: 8080
readinessProbe:
httpGet:
path: /health
port: 8080
initialDelaySeconds: 5
periodSeconds: 5
failureThreshold: 3
livenessProbe:
httpGet:
path: /health
port: 8080
initialDelaySeconds: 10
periodSeconds: 10
failureThreshold: 3
lifecycle:
preStop:
exec:
command: ["/bin/sh", "-c", "sleep 10"]
这里的terminationGracePeriodSeconds设置为40秒，是为了容纳preStop的10秒以及Golang优雅关闭最多需要的30秒。如果容器在宽限期结束后仍未退出，Kubernetes会强制发送SIGKILL。所以这两者的时间要匹配，否则可能出现优雅关闭还没完成就被强制终止的情况。同时initialDelaySeconds也很重要，它给新实例一定时间完成初始化，避免探针过早失败导致实例被反复重启。
更新过程中，Kubernetes会先启动一个新实例并等待其readinessProbe通过，然后把旧实例中的一个标记为不可用并发送SIGTERM。由于maxUnavailable为0，整个过程中始终有3个旧实例在运行，直到新实例就绪才会减少旧实例。这种配置适合对可用性要求极高的服务，但要求集群有额外的资源余量。
四、使用Consul和Nginx实现滚动更新
在没有Kubernetes的情况下，可以借助Consul作为注册中心，配合Nginx做反向代理和流量切换。Golang服务启动时向Consul注册自身地址和健康检查接口，停止时主动注销。Nginx则通过定期读取Consul的健康实例列表，动态调整upstream配置。这样当某个旧实例注销后，Nginx会把它从可用列表中移除，新实例注册并通过健康检查后才会被加入。
Golang中使用Consul的Go客户端完成注册的代码大致如下。服务在启动时注册，退出时通过defer注销。健康检查使用HTTP方式，指定/health路径和探测间隔。
package main
import (
"fmt"
"os"
"os/signal"
"syscall"
"time"
consulapi "github.com/hashicorp/consul/api"
)
func registerService() (*consulapi.Client, string, error) {
config := consulapi.DefaultConfig()
config.Address = "127.0.0.1:8500"
client, err := consulapi.NewClient(config)
if err != nil {
return nil, "", err
}
serviceID := fmt.Sprintf("user-service-%d", time.Now().Unix())
registration := &consulapi.AgentServiceRegistration{
ID: serviceID,
Name: "user-service",
Address: "127.0.0.1",
Port: 8080,
Check: &consulapi.AgentServiceCheck{
HTTP: "http://127.0.0.1:8080/health",
Interval: "10s",
Timeout: "3s",
},
}
if err := client.Agent().ServiceRegister(registration); err != nil {
return nil, "", err
}
return client, serviceID, nil
}
func main() {
client, serviceID, err := registerService()
if err != nil {
fmt.Printf("register error: %v\n", err)
os.Exit(1)
}
defer client.Agent().ServiceDeregister(serviceID)
quit := make(chan os.Signal, 1)
signal.Notify(quit, syscall.SIGINT, syscall.SIGTERM)
<-quit
time.Sleep(5 * time.Second)
fmt.Println("deregistered and exited")
}
上面的示例中，defer client.Agent().ServiceDeregister(serviceID)确保服务在退出时从Consul中移除。收到信号后先等待5秒再执行注销，给Nginx或其他调用方一点缓冲时间，避免已经进入的请求被直接拒绝。Consul的健康检查会每隔10秒探测一次/health，如果连续失败，Consul会自动把实例标记为不健康。
Nginx动态更新上游列表可以通过consul-template实现。consul-template监听Consul的健康实例变化，并渲染Nginx的upstream配置，渲染完成后触发Nginx平滑重载。这样每次滚动更新时，新版本实例被加入upstream，旧版本实例在注销后被移除，整个过程不需要人工修改配置。
五、滚动更新中的常见问题与避坑建议
滚动更新最典型的坑是连接复用导致流量仍然发往旧实例。如果调用方使用HTTP长连接池，当旧实例被摘除后，连接池中与该实例建立的连接可能还会被继续使用，直到连接被关闭或超时。因此服务端在优雅关闭时，除了停止接收新连接，还应该主动关闭空闲连接，或者通过响应头告知客户端连接即将关闭。Golang的http.Server可以在Shutdown之前调用SetKeepAlivesEnabled(false)来禁止新的保活连接。
另一个容易忽略的问题是数据库迁移与代码版本之间的兼容性。滚动更新期间新旧实例会同时运行，如果新版本代码依赖尚未执行的数据库迁移，或者旧版本代码无法识别新字段，就可能出现请求失败。解决方案是采用向后兼容的数据库变更策略：先执行只增加字段或表的迁移，再发布兼容新旧代码的中间版本，最后在完全切换后删除旧逻辑。对于跨版本的服务接口，也应尽量保持兼容，避免破坏性变更直接上线。
最后还要注意幂等性设计。在滚动更新中，部分请求可能因为连接中断或实例切换而重试。如果服务端操作不具备幂等性，比如更新库存或创建订单时没有唯一标识去重，就可能产生重复数据。建议对写接口引入幂等键，或保证业务操作在数据库层面使用唯一约束和事务，这样即使请求被重试，也不会产生副作用。