约15分钟与Linux默认tcp_retries2=15的重传上限（约924秒）吻合，根源在内核，不在数据库。在Pod内调小该参数需要节点级sysctl白名单，且网络抖动时会误断连接，不宜作为主方案。更稳妥的分工是：OLTP连接池设置5至10秒的socketTimeout；报表拆出独立连接池，设较长的socketTimeout；数据库侧用max_execution_time（仅作用于SELECT）兜底长查询。若要精准剔除死连接，可通过自定义SocketFactory设置TCP_USER_TIMEOUT。HikariCP的keepaliveTime只能清理空闲连接，对卡在读取中的线程无效。

约15分钟与Linux默认tcp_retries2=15的重传上限（约924秒）吻合，根源在内核，不在数据库。在Pod内调小该参数需要节点级sysctl白名单，且网络抖动时会误断连接，不宜作为主方案。更稳妥的分工是：OLTP连接池设置5至10秒的socketTimeout；报表拆出独立连接池，设较长的socketTimeout；数据库侧用max_execution_time（仅作用于SELECT）兜底长查询。若要精准剔除死连接，可通过自定义SocketFactory设置TCP_USER_TIMEOUT。HikariCP的keepaliveTime只能清理空闲连接，对卡在读取中的线程无效。

零接触部署（Zero-Touch Provisioning）的核心是把配置前移到云端：采购时由厂商或分销商完成设备批量登记，员工开箱联网后，通过Windows Autopilot、Apple Business Manager或主流MDM平台自动加入企业身份体系，下发系统、应用和安全策略，IT全程无需接触设备。落地需要三项能力：设备身份与厂商批量注册、按角色编排的云端策略和应用包、以及弱网环境下的合规校验与自动修复。该方案最适合远程员工占比高、批量入职季集中、分支机构分散的场景。员工收到即可使用，策略由平台强制下发，既消除了两周的寄送等待，也杜绝了手工配置的遗漏。

结论是校验的权威层应放在后端，规则以配置形式存放于配置中心，前后端共用同一份定义。后端在提交时强制执行，是唯一裁决方；前端拉取同一配置做即时提示，但不作为放行依据，最终错误信息以后端返回为准。规则每月变更两三次时，只需修改配置，无需发版，并可借助版本号、灰度发布和一键回滚控制风险。一致性依赖规则DSL的统一解析加上前后端契约测试，避免两端理解不一致。权衡的关键是：前端可以只读展示，但绝不能成为唯一防线。

结论是校验的权威层应放在后端，规则以配置形式存放于配置中心，前后端共用同一份定义。后端在提交时强制执行，是唯一裁决方；前端拉取同一配置做即时提示，但不作为放行依据，最终错误信息以后端返回为准。规则每月变更两三次时，只需修改配置，无需发版，并可借助版本号、灰度发布和一键回滚控制风险。一致性依赖规则DSL的统一解析加上前后端契约测试，避免两端理解不一致。权衡的关键是：前端可以只读展示，但绝不能成为唯一防线。

零接触部署（Zero-Touch Provisioning）的核心是把配置前移到云端：采购时由厂商或分销商完成设备批量登记，员工开箱联网后，通过Windows Autopilot、Apple Business Manager或主流MDM平台自动加入企业身份体系，下发系统、应用和安全策略，IT全程无需接触设备。落地需要三项能力：设备身份与厂商批量注册、按角色编排的云端策略和应用包、以及弱网环境下的合规校验与自动修复。该方案最适合远程员工占比高、批量入职季集中、分支机构分散的场景。员工收到即可使用，策略由平台强制下发，既消除了两周的寄送等待，也杜绝了手工配置的遗漏。

接口签名防篡改的核心思路是：客户端和服务端共享一个密钥（secret），请求时把所有参数（含时间戳、随机串）按固定规则排序拼接，再用HMAC-SHA256等算法生成签名随请求一起发送；服务端用同样的规则重新计算并比对，不一致即拒绝。为防止重放攻击，签名内必须包含时间戳并限定有效窗口（如5分钟），同时用nonce（一次性随机数）在窗口内去重，已用过的nonce直接拒绝。密钥只能保存在服务端和客户端安全存储中，不能写进前端明文代码，敏感接口还应结合HTTPS传输加密，避免签名过程被截获。对于POST的JSON请求体，应把body的哈希值一并纳入签名，否则请求体可被单独替换。签名字段要做到参数任意改动都会导致签名失效，并注意比对时使用恒定时间比较函数，减少时序攻击风险。

CLB 探测的 Host 默认与检查域名一致，留空时通常取转发域名，路径即检查路径 /，所以日志里只会出现 / 的 302。只勾 http_2xx 时，302 会被判为失败，这正是异常的直接原因。不要勾 http_3xx，否则登录跳转会被当作健康。应把检查路径改为返回 200 的 /healthz，并确认它不需要登录。探测日志已有记录，说明 100.64.0.0/10 的包已到达，安全组是有状态的，但仍建议显式放行该网段的 8080，主机防火墙也需放行同一网段。全部后端异常时是否继续转发，以及具体的恢复规则，请以腾讯云 CLB 官方文档和控制台实际行为为准，本次按健康阈值 3 次连续成功计算，恢复约需 15 秒加上探测间隔。

国内 Service Mesh 已进入规模化生产阶段。阿里云、腾讯云、华为云等都推出了基于 Istio 的托管产品，蚂蚁、字节等大型互联网公司也有自研方案在核心业务中运行，流量治理、灰度发布和可观测性等基础能力已比较成熟。但 Sidecar 带来的 CPU 和内存开销，以及多集群治理，仍是落地时的主要难点，建议用自己的业务实测。安全方面，mTLS 双向认证和证书自动轮转能显著提升服务间通信的安全性，但默认模式通常较宽松，需要手动切换为严格模式才能强制加密。此外，控制面权限、镜像供应链和 Istio 版本漏洞的及时修复同样关键。因此，安全能力本身可靠，但"有保证"取决于正确配置和持续运维。

国内 Service Mesh 已进入规模化生产阶段。阿里云、腾讯云、华为云等都推出了基于 Istio 的托管产品，蚂蚁、字节等大型互联网公司也有自研方案在核心业务中运行，流量治理、灰度发布和可观测性等基础能力已比较成熟。但 Sidecar 带来的 CPU 和内存开销，以及多集群治理，仍是落地时的主要难点，建议用自己的业务实测。安全方面，mTLS 双向认证和证书自动轮转能显著提升服务间通信的安全性，但默认模式通常较宽松，需要手动切换为严格模式才能强制加密。此外，控制面权限、镜像供应链和 Istio 版本漏洞的及时修复同样关键。因此，安全能力本身可靠，但"有保证"取决于正确配置和持续运维。

CLB 探测的 Host 默认与检查域名一致，留空时通常取转发域名，路径即检查路径 /，所以日志里只会出现 / 的 302。只勾 http_2xx 时，302 会被判为失败，这正是异常的直接原因。不要勾 http_3xx，否则登录跳转会被当作健康。应把检查路径改为返回 200 的 /healthz，并确认它不需要登录。探测日志已有记录，说明 100.64.0.0/10 的包已到达，安全组是有状态的，但仍建议显式放行该网段的 8080，主机防火墙也需放行同一网段。全部后端异常时是否继续转发，以及具体的恢复规则，请以腾讯云 CLB 官方文档和控制台实际行为为准，本次按健康阈值 3 次连续成功计算，恢复约需 15 秒加上探测间隔。

HNSW 在删除和更新后会衰减，原因是 Milvus 的删除多为软删除，已删节点仍留在图中充当导航节点，更新又等于删除加插入，旧节点不断累积，既浪费遍历又削弱连通性。经验上可以在已删除或失效向量占比超过 10% 到 20% 时安排整理，具体阈值应结合召回和延迟曲线实测。以你每天新增约 0.05% 的增量看，HNSW 配合定期 compaction 通常比 IVF 更合适，因为 IVF 的质心重训成本高。DiskANN 适合数据超出内存的场景，构建时可把 R 设为 32 到 64、L 设为 100 到 200。在线整理可采用影子集合加别名原子切换：新索引后台构建，期间用时间戳回放增量日志追平，用固定黄金集验证召回后再切换别名，旧集合保留一段时间以便回滚。

HPA 可以把 scaleUp 的 stabilizationWindowSeconds 设为 0 并配置较快的扩容 policy，把 scaleDown 的窗口拉长到 300 秒以上，用百分比策略每次只缩少少量副本。自定义 QPS 指标要用更长的 rate 窗口或平滑处理，否则毛刺会导致 8 与 14 之间来回摆动。PDB 的 maxUnavailable=1 对大量副本的场景会让驱逐串行进行，缩容很慢，建议改用按比例的 maxUnavailable，并配合 preStop 与优雅终止时间处理连接排空。高峰期若能预判，可用 CronHPA 或定时扩容设定下限，并在窗口内暂停 CA 缩容，比纯 HPA 更稳，代价是低谷期资源利用率下降。