שבוע תקרית ה-API: היעדר אידמפוטנטיות הוא הקפאה ולא סופת ניסיונות חוזרים

שבוע תקרית ה-API: היעדר אידמפוטנטיות הוא הקפאה ולא סופת ניסיונות חוזרים.

התראת חצות והדממה בקו

לוח המחוונים שלכם מציג קו שטוח במסירת DLR בזמן שתעבורת ה-SMS הנכנסת מזנקת. מחיצת רשת במורד הזרם הפילה חבילות TCP באמצע הבקשה, ומיקרו-השירות של הלקוח שלכם הניח כישלון. ללא אמצעי הגנה מתאימים, לקוחות אוטומטיים מתחילים להלום בשער שלכם עם מטענים זהים. אתם מסתכלים על סופת ניסיונות חוזרים קלאסית נגד ספר חשבונות מראש שבו כל בקשה כפולה מסתכנת בחיוב כפול של יתרות. במודל CPaaS תשלום מראש בתווית לבנה, תקרית ה-API הראשונה שלכם לעולם אינה נוגעת רק לזמן פעילות; היא נוגעת להגנה על כספי הלקוחות מפני כשלי רשת מדורגים.

מדוע ניסיונות חוזרים ללא בלמים מרוקנים יתרות תשלום מראש

כאשר מתרחש פסק זמן של הלקוח, לוגיקת יישום נאיבית משדרת מחדש מיד את בקשת ה-HTTP. אם שכבת הניתוב שלכם מעבדת כפילויות אלו באופן עצמאי, כל פגיעת API מפעילה הקצאת מספר JIT חדשה או שליחת SMS חדשה. הדבר מפר את לוגיקת הרצפה של תשלום מראש בגובה USD 20 על ידי הורדת היתרות מתחת לאפס לפני שמנוע הסיכונים מספיק לתפוס זאת. אינכם יכולים לסמוך על תקווה או על הבטחות מצד הלקוח. עיינו במדריך שלנו על חתימת וובהוק וחלון שידור חוזר כדי להבין כיצד נעילות טราנזקציות מונעות ריקון ארנק מקרי במהלך חיבורים מחדש.

בידוד הכישלון ועצירת הלופ

העדיפות התפעולית המיידית שלכם היא עצירת התעבורה הנכנסת לפני תיקון קוד. יש ליישם כלל הגבלת קצב חירום בקצה שער ה-API כדי להשליך מטענים זהים המגיעים בתוך חלון זמן צר. אל תנסו לעבד עסקאות בזמן שמצב ספר החשבונות שנוי במחלוקת. אם הפלטפורמה שלכם מתקרבת לסף סקירה רך סביב USD 1,000 לחודש בנפח תעבורה שנוי במחלוקת, ספקים במעלה הזרם יסמנו את מזהה הסוחר שלכם בשל תנודתיות חשודה. הקפאו את קצה הלקוח המושפע מיד דרך קונסולת הניהול שלכם.

אימות מצב עסקה ועקביות ספר החשבונות

ברגע שהסופה נרגעת, עליכם לבצע ביקורת על כל התאמת יתרה שבוצעה במהלך חלון התקרית. השוו את יומני ספר החשבונות הפנימיים שלכם מול אותות HB של הספק כדי לזהות בקשות יתומות שבהן SMS נשלח אך מסירת DLR נכשלה ברישום. מפתחים מבצעים לעתים קרובות את החודש השני ב-API: ניהול חוב אידמפוטנטיות לאחר המחזור הראשון בהנחה שמגבלות מסד נתונים חד-חוטיות מספיקות. הן אינן מספיקות. מיקרו-שירותים מבוזרים דורשים נעילת בקשות מפורשת מבוססת גיבוב כדי להבטיח שחתימות API זהות יתכנסו לביצוע מכונת מצב יחידה.

אבטחת מסירת וובהוק מפני שידורי הד חוזרים

טיפול מאובטח בווובהוקים נכנסים חשוב בדיוק כמו ניהול קריאות API יוצאות במהלך תקרית. לקוחות המעבדים עדכוני DLR אסינכרוניים יכולים גם ליפול ללופים אינסופיים אם השרת שלכם מחזיר שגיאות 5xx עקב תחרות על נעילת מסד הנתונים. יש ליישם בדיקת חלון חתימת וובהוק וחלון שידור חוזר קפדנית באמצעות חותמות זמן קריפטוגרפיות כדי להשליך מטענים מיושנים הישנים מ-300 שניות. הדבר מונע ממערכות אוטומטיות להלום בקצוות במورד הזרם שלכם עם אישורי מסירה מיושנים.

התחילו עם IOSOR לבקרת עסקאות עמידה

בשבוע תקלה הקפיאו קודם יוצא חדש. הוסיפו Idempotency-Key לכל שליחה באוויר, ייצאו שורות חיוב כפולות, ועצרו ניסיונות לקוח שקטים. אל תפתחו סערת ניסיונות כדי להדביק.

סיכום IOSOR

עשו: התייחסו למפתחות חסרים כהקפאה, אחר כך מלאו ויישרו את ה-ledger.

אל: אל תסגרו את התקלה בזמן ש־DLR כפול עדיין טובע חיוב שני. סטטוס כרטיס אינו סטטוס כסף.