如何为Java服务设计优雅的关闭流程

每当我们在生产环境滚动发布或重启服务时，总希望进程能“体面退场”——先停止接收新请求，再处理完正在执行的任务，最后释放资源、关闭连接、退出 JVM。然而现实往往是 `kill -9` 一梭子下去，留下一堆半写状态的数据库记录和还挂在注册中心的死节点。Java 服务如何设计优雅关闭流程，本质上是在回答一个问题：当生命走到终点时，我们能否把该做的事做完？

先理解 JVM 的关闭钩子与 SIGTERM

Java 服务通常运行在 Linux 容器中，当我们执行 `kill <pid>` 时，操作系统发送的是 `SIGTERM`，JVM 默认收到后会触发 shutdown hook，然后退出。但很多人忽略了前提：如果你用了 `kill -9`，或者容器被强制销毁，那关闭钩子根本不会执行。另外，如果代码里调用了 `System.exit()` 或 `Runtime.halt()`，钩子也可能被跳过。

所以第一步，是确保你的部署脚本/编排平台发送的是 `SIGTERM`，而不是 `SIGKILL`。Kubernetes 默认在优雅期（默认30秒）内发送 `SIGTERM`，超时后强制杀，这本身没问题——问题在于我们的应用能否在 30 秒内完成所有清理。判断方式很简单：在 `main` 方法里注册一个钩子试试看。

Runtime.getRuntime().addShutdownHook(new Thread(() -> {
    System.out.println("shutdown hook triggered");
}));

如果你的服务跑一个 `kill <pid>` 后打印了这句话，说明基本链路是通的。但仅仅能打印还不够，我们要设计的是有序、有超时、可验证的关闭流程。

关闭流程的核心：从拒绝新流量开始

优雅关闭的第一步永远不是“关线程”，而是“把门关上”。对于 Spring Boot 服务，可以通过以下方式实现：

1. 停止接收外部请求：Spring Boot 2.3+ 内置了优雅关闭支持，`server.shutdown=graceful` 配合 `spring.lifecycle.timeout-per-shutdown-phase=20s`，可以让 Tomcat 停止接受新请求，同时等待已接收请求完成。
2. 摘除注册中心节点：如果你用了 Nacos/Eureka/Consul，需要在关闭前主动调用 `deregister` 接口，让服务实例从负载均衡中摘除。否则流量还会持续打入，此时端口虽然还开着，但服务已经处于准备关闭状态，容易造成大量请求失败。
3. 标记服务状态为非健康：对于自建网关或通过 HTTP 探活的环境，可以提供一个 status 端点，在关闭前将它切换为非健康状态，让上游感知到节点准备离线。

只做一步往往不够。比如光有 `server.shutdown=graceful`，但注册中心里实例还活着，网关照样会分流过来；只摘注册中心，但外部已有长连接或正在等待响应的请求，依然需要应用层等待。

关闭的“中场”：排空存量工作

当新流量不再进入后，服务内部可能仍有正在执行的任务——异步 MQ 消费、定时任务触发、慢 SQL 查询等。这需要我们在应用层面做到两点：

一是为所有异步任务提供优雅的线程池关闭入口。 不用裸线程，而是使用 `ThreadPoolExecutor`，然后在关闭流程里依次调用 `shutdown()` 和 `awaitTermination(timeout, TimeUnit.SECONDS)`。`shutdown()` 会让线程池不再接受新任务，而 `awaitTermination` 会阻塞等待已有任务执行完毕。若超时还没结束，则可以考虑 `shutdownNow()` 强制中断（但要注意中断后如何补偿）。

executor.shutdown();
if (!executor.awaitTermination(10, TimeUnit.SECONDS)) {
    executor.shutdownNow();
    // 记录未完成任务，后续做补偿
}

二是对可能在关闭瞬间进入的“半途任务”做防护。 比如一个事务还没提交，连接池就被强制关闭，会导致数据不一致。所以连接池（如 HikariCP）、消息客户端（如 Kafka/RocketMQ Producer）都要挂在关闭钩子的更早阶段释放，而不是等到最后。这里要小心关闭顺序：通常应先停写入通道，再停线程池，最后关数据库连接。

一个常见的错误是将所有清理逻辑写在一个大钩子方法里，没有任何依赖顺序，且没有超时控制。结果某个资源阻塞在等待远程调用上，整个 shutdown hook 挂了五分钟，K8s 早就把 Pod 杀了。正确的做法是给每个清理子任务足够的超时，并为整个关闭流程设定总预算——这个预算必须小于容器的 grace period。

别忽视 Spring/Spring Boot 的现有机制

如果你用的是 Spring Boot，不必自己从零造轮子。`@PreDestroy` 注解方法会在容器关闭时被调用，`SmartLifecycle` 接口更精细地控制启动/关闭顺序——通过 `getPhase()` 返回不同值，可以确定哪些组件先关。例如让数据库连接管理的 `phase` 设为 `Integer.MIN_VALUE`，使其最后关闭；而让消息监听容器的 `phase` 设为较高值，使其最早停止。

另外，Spring Boot 的 `ApplicationRunner` 和 `CommandLineRunner` 中长跑的逻辑，也需要配合 `ConfigurableApplicationContext` 的关闭来触发回调。我推荐一种组合方式：在 `@PreDestroy` 里做业务资源释放，在 shutdown hook 里只做兜底——当 Spring 上下文关闭时，系统自动执行 `@PreDestroy`；而如果 JVM 直接终止，兜底钩子再保证核心资源被释放。但要注意两者不要重复释放同一个资源，否则会抛异常。

监控关闭过程，让优雅可见

一个服务是否真的做到了优雅关闭，不能靠“看起来没报错”来判断。建议在关闭流程里埋点日志，按阶段输出——例如：

- `shutdown-start`：开始关闭
- `deregister-service`：注册中心摘除完成
- `stop-accepting-requests`：Web 容器停止接收请求
- `drain-thread-pool`：业务线程池排空耗时
- `close-datasource`：数据源关闭完成
- `shutdown-complete`：应用退出

如果某个阶段超时，能立刻定位是网络问题还是线程卡死。更严谨的做法是使用 metrics 记录关闭耗时和剩余任务数，方便事后复盘。生产环境里甚至可以通过在关闭前手动触发一个探针接口，模拟关闭全过程，验证是否在给定时间内顺利退出——这应该作为发版流程的常规演练。

写在最后

优雅关闭不是一个“把资源关干净”的动作，而是一场有节奏的撤退。你需要掐断流量、疏离存量、按依赖顺序关停各个组件，并在整个过程中把控制权交还给容器编排系统。设计优雅关闭流程，本质上是在为不可预知的故障储备预案，也是运维气质和技术审美的体现——毕竟，谁都不希望自己的服务在退出时发出一声凄厉的惨叫。