OWASP·开源 · owasp-opensource 上手两周后的真实感受：哪些设计舒服，哪些让人抓狂

网上关于 owasp-opensource 的文章大多停在「怎么用」，很少有人写「什么时候不该用」。这篇想补上后半句。

关于取舍，我的判断是：如果团队里没有人长期盯这块，就不要引入第二套机制。两套并存的时候，出问题时你甚至要先花时间判断「这次是哪个在起作用」，那个成本比性能损失高得多。

// 最小复现：注意这里必须用真实的长尾分布，
// 均匀分布的压测流量不会触发这个问题
func (s *Server) handle(ctx context.Context) error {
    conn, err := s.pool.Acquire(ctx)
    if err != nil {
        return fmt.Errorf("acquire: %w", err)
    }
    defer conn.Release()

    return s.do(ctx, conn)
}

第一件事是把变量收敛干净。我们最开始同时在改配置和升级版本，结果两组数据的差异根本说不清是哪个带来的。后来回滚到只动一个变量，重跑了三遍，曲线才稳定下来。这一步很枯燥，但省不掉。

顺便说一句，官方文档里这段其实有写，只是藏在一个很不起眼的位置。我是在翻源码注释的时候才发现的，注释里作者解释了为什么这么设计 —— 大意是「为了在极端情况下退化成可预期的行为」。