标签: #降级开关

降级开关拆到方法级以后，风控校验被悄悄跳过了，等发现时订单都跑出去好几千条

一场因方法级降级开关精细化拆分引发的事故：风控校验方法降级时默认返回null，导致调用方直接放行，三千多笔订单跳过风控。根因是不同业务方法的降级默认值语义不同，而AOP切面统一返回null。修复方案包括回滚开关、强制声明降级行为、禁止安全相关方法自动降级，并增设风控请求量监控。核心教训是降级默认值应是业务决策，而非技术偷懒。