蓝绿、灰度、金丝雀到底怎么选？我在云服务器上把它们全部实测了一遍

本文是《研发效能实战》系列第四篇。上一篇我们搭好了"push 即上线"的 CI/CD 流水线，这一篇解决"上线的最后一公里"：怎么把新版本安全地放到用户面前。参考极客时间《研发效能》课程第 18 讲（蓝绿红黑灰度发布），我们在一台真实云服务器上，把蓝绿部署、加权灰度、Header/Cookie 定向灰度、故障自动回滚全部跑了一遍，所有数据均为真实输出。

完整脚本与日志：https://gitcode.com/cpyaxjq/devops-efficiency-in-action（scripts/machine3-deploy/）

一、发布为什么是事故高发区

问任何一个有几年经验的后端工程师"你最紧张的时刻是什么"，十有八九的答案是：上线的那一刻。原因很朴素：

• 测试环境永远无法 100% 复刻生产（数据量、流量模式、依赖版本）；
• 一旦全量发布出问题，影响的是全部用户，回退还需要时间；
• 传统的"停服上线"窗口越来越难申请——用户期待 7×24 可用。

Facebook 每周发布 Web 版本数次、移动端每周一版，靠的不是"胆子大"，而是一整套把发布风险切碎的技术：先让新版本只承接一小部分流量，确认没问题再逐步放大，出问题秒级回滚。这就是各种"颜色发布"的本质。

二、五颜六色的发布：一张表说清楚

一句话记忆：蓝绿求"稳"（整体可验证、瞬时可回退），灰度求"准"（风险敞口可控、数据可对比）。生产实践中两者常常组合使用：先蓝绿切换到新环境，再在新环境内部做灰度放量。

三、实验环境与基础搭建

实验机：华为云 FlexusX（8vCPUs/16GiB），Ubuntu 24.04，Nginx 1.24.0，Python 3.12.3。

架构非常简单，也正是绝大多数中小团队可以直接照搬的形态：

┌─────────────────────┐ 用户流量 ──────► │ Nginx (:80) │ │ upstream backend │ └───────┬─────────────┘ ┌────────┴────────┐ ▼ ▼ ┌──────────────┐ ┌──────────────┐ │ 蓝环境 :8081 │ │ 绿环境 :8082 │ │ v1.0 (旧版) │ │ v2.0 (新版) │ │ systemd 托管 │ │ systemd 托管 │ └──────────────┘ └──────────────┘

应用是一个返回 JSON 的极简 HTTP 服务（版本号/颜色/主机名/时间），蓝绿两个实例用 systemd 分别托管。初始化后的真实校验输出：

===== [5/5] 本地直连校验两个实例 ===== blue : {"version": "v1.0", "color": "blue", "hostname": "ecs-e3ff-0003", "time": "2026-07-30T12:58:20.543472", "path": "/"} green : {"version": "v2.0", "color": "green", "hostname": "ecs-e3ff-0003", "time": "2026-07-30T12:58:20.548621", "path": "/"} via nginx (should be blue): {"version": "v1.0", "color": "blue", ...} blue status: active green status: active

两套环境同时在线，Nginx 当前指向蓝。舞台搭好了。

四、蓝绿部署实战：0.007 秒完成切换，600 请求零失败

4.1 切换前基线：100% 蓝

先用 300 次连续请求确认基线（每行记录"序号 版本 状态码"再聚合统计）：

--- 切换前 300 次请求版本分布（应全 v1.0）--- 300 v1.0 --- 切换前状态码分布（应全 200）--- 300 200

4.2 一条命令切换：改 upstream + reload

蓝绿切换的全部操作，就是把 Nginx upstream 里的8081改成8082然后nginx -s reload：

nginx: the configuration file /etc/nginx/nginx.conf syntax is ok nginx: configuration file /etc/nginx/nginx.conf test is successful 切换命令耗时: 0.007 秒 --- 当前 upstream 配置 --- server 127.0.0.1:8082;

0.007 秒。这就是蓝绿切换的全部开销——因为它不需要启动任何进程，绿环境早已在旁边热着，切换只是"改路牌"。

切换后再打 300 次请求验证：

--- 切换后 300 次请求版本分布（应全 v2.0）--- 300 v2.0 --- 切换后状态码分布（应全 200）--- 300 200

4.3 零停机的硬核证明：连续请求打穿切换瞬间

“切换很快"不等于"用户无感”。真正的考验是：在切换发生的那一瞬间，正在进行的请求会不会失败？我们设计了一个更严格的实验：连续发起 600 次请求，在第 300 次时于后台触发切换，全程记录每个请求的版本与状态码：

CONTINUOUS_DONE count=600 switch_at=300 SWITCH_DURATION_SEC 0.007 --- 版本随请求序号变化（每 50 个采样）--- req 50: v1.0 code=200 req 250: v1.0 code=200 req 349: v2.0 code=200 req 599: v2.0 code=200 --- 全量状态码分布（必须全 200，证明零失败/零停机）--- 600 200 --- 颜色切换交界：最后几个蓝 / 最早几个绿 --- 301 v1.0 200 302 v1.0 200 303 v1.0 200 304 v2.0 200 305 v2.0 200

结论清晰有力：第 303 个请求还是 v1.0，第 304 个已经是 v2.0，600 个请求全部 200，无一失败。这就是 Nginx reload 的优雅之处——老 worker 处理完存量连接才退出，新 worker 接管新连接，用户完全无感。

4.4 秒级回滚

假设 v2.0 上线后发现问题，回滚就是再"改一次路牌"：

回滚命令耗时: 1.008 秒 --- 回滚后版本分布（应 100% 蓝）--- 200 v1.0

对比一下传统"重新部署旧版本"的回滚（拉代码/镜像→启动→预热，通常 5-15 分钟），蓝绿的秒级回滚在故障止血上是碾压级优势。这也是为什么课程里强调：蓝绿部署买的不是部署速度，而是"后悔药"。

五、灰度发布实战：从 10% 到全量的真实流量曲线

蓝绿是"一刀切"，灰度则是"温水放量"。用 Nginx 的 upstream weight 实现，每个阶段打 100 次请求统计真实分布：

5.1 阶段一：90% 蓝 / 10% 绿

upstream backend { server 127.0.0.1:8081 weight=90; server 127.0.0.1:8082 weight=10; }

[w90_10] 总=100 蓝v1.0=89 (89.0%) 绿v2.0=11 (11.0%)

配置 90/10，实测 89/11——Nginx 的加权轮询在百次级别就已相当精确。此阶段只有约 10% 用户接触新版本，即使新版本有严重 bug，影响面也被控制在一成以内。

5.2 阶段二：50/50 对半开

[w50_50] 总=100 蓝v1.0=56 (56.0%) 绿v2.0=44 (44.0%)

56/44 的实测比例（样本量 100 下的正常波动）。这个阶段通常持续观察核心指标：错误率、延迟 P99、业务转化率，新旧版本天然构成 A/B 对照组。

5.3 阶段三：100% 全量

[w100] 总=100 蓝v1.0=2 (2.0%) 绿v2.0=98 (98.0%)

切到全量后仍有 2 个请求命中 v1.0——这正是 reload 瞬间旧 worker 优雅退出前处理的尾部请求，恰好从侧面证明了 Nginx 平滑 reload 的工作机制（存量连接不受影响）。稳定后即 100% 新版本。

放量节奏建议：1% → 5% → 25% → 50% → 100%，每档观察至少一个业务高峰周期。放量不是越快越好，灰度阶段"泡"的时间就是风险的缓冲垫。

六、定向灰度：让内部员工先踩坑

按比例灰度是"随机抽样"，但很多场景需要指定的人先用新版本：内部员工、种子用户、特定地区。用 Nginx 的map指令按 Header/Cookie 路由：

upstream blue_backend { server 127.0.0.1:8081; } upstream green_backend { server 127.0.0.1:8082; } map $http_x_canary $canary_by_header { default 0; "true" 1; } map $cookie_canary $canary_by_cookie { default 0; "true" 1; } map "$canary_by_header$canary_by_cookie" $target { default green_backend; # 任一命中即走灰度 "00" blue_backend; # 都未命中走稳定版 }

三组对照的真实输出：

########## 不带 Header（默认 -> 蓝 v1.0）########## 请求1: v1.0 blue 请求2: v1.0 blue 请求3: v1.0 blue ########## 带 X-Canary: true（定向 -> 绿 v2.0）########## 请求1: v2.0 green 请求2: v2.0 green 请求3: v2.0 green ########## 带 Cookie canary=true（定向 -> 绿 v2.0）########## 请求1: v2.0 green 请求2: v2.0 green 请求3: v2.0 green

普通用户 100% 走稳定版，带标记的请求 100% 进入新版本。生产中这个"标记"可以由网关根据用户 ID、员工名单、城市等注入，实现"Facebook 员工永远用最新版 Facebook"同款机制（dogfooding）。

实测中的一个小坑：nginx reload 后立即发请求，可能仍由旧 worker 服务而命中旧配置。脚本里 reload 后sleep 2再验证——做自动化发布编排时这个细节不能省。

七、灰度中发现故障：自动回滚演练

灰度的最大价值是"出问题时影响小"，但前提是你能及时发现并回滚。靠人盯监控大盘不现实，我们演练了一个最小化的自动回滚闭环：

第 1 步：正常灰度中（80/20）

基线分布: 83 v1.0 17 v2.0

第 2 步：注入故障——让绿环境（v2.0）开始返回 500（模拟新版本带出的 bug）：

故障期状态码分布: 41 200 9 500

约 18% 的请求开始报错——正对应绿环境承接的那部分流量。用户已经在受损，时间就是金钱。

第 3 步：健康检查探测——脚本直连绿后端探测 20 次：

绿环境探测: 总=20 错误(5xx)=20 错误率=100% 阈值=40%

第 4 步：超阈值自动回滚——错误率 100% > 40%，脚本自动把绿节点摘除并 reload：

检测到错误率 100% > 40%，执行自动回滚（绿权重 -> 0） ROLLBACK_DONE

第 5 步：回滚后验证：

回滚后版本分布: 100 v1.0 回滚后状态码分布: 100 200

100 次请求全部回到 v1.0、全部 200。从故障探测到流量恢复，整个闭环在秒级完成，不需要任何人工介入。生产环境中把"探测脚本"换成 Prometheus 告警 + 自动化编排（或服务网格的 outlier detection），原理完全一致。

八、业界实践对照

• Facebook：代码推送采用"quasi-continuous"发布，先内部员工（dogfooding），再 2% 生产流量金丝雀，指标正常后 100% 放量；出问题一键回退。配合功能开关（Gatekeeper），代码发布与功能发布解耦——代码可以天天上线，功能按用户群逐步打开。
• Netflix：红黑部署 + Spinnaker 自动金丝雀分析（ACA），新旧版本各起一个对照集群，机器自动对比数百个指标打分，分数不达标自动终止发布。
• 国内大厂：普遍是"泳道/多环境 + 网关灰度"组合，按 UID 尾号、白名单、城市放量，本文的 Nginx map 就是这套机制的最小实现。

共同规律：发布频率越高的公司，单次发布的风险敞口越小。高频小步 + 灰度放量 + 自动回滚，三者互为前提。

九、总结：怎么选、怎么落地

1. 资源充足、版本差异大→ 蓝绿：0.007 秒切换、秒级回滚，双倍资源买一颗"后悔药"，值；
2. 常规迭代→ 加权灰度：90/10 起步逐档放量，新旧版本天然 A/B 对照；
3. 需要特定人群先行→ Header/Cookie 定向灰度：一段 nginx map 就能实现员工先行；
4. 无论用哪种：自动化健康检查 + 超阈值自动回滚是底线配置，别把止血速度寄托在值班同学的手速上;
5. 蓝绿和灰度不互斥：蓝绿管"环境切换"，灰度管"流量比例"，成熟的发布系统两者叠加使用。

发布策略的本质是一句话：用可控的小代价，换取不可控的大风险的提前暴露。这正是研发效能"质量与速度均衡"在发布环节的具体落地。

实验环境：华为云 FlexusX 云服务器（8vCPUs | 16GiB | x2e.8u.16g），Ubuntu 24.04 Server 64bit，Nginx 1.24.0，Python 3.12.3。文中所有命令输出均为真实执行结果，完整脚本与原始日志见仓库 scripts/machine3-deploy/ 目录。
系列仓库：https://gitcode.com/cpyaxjq/devops-efficiency-in-action