最近接手一個訂單處理服務的時候我發(fā)現(xiàn)一個很奇怪的現(xiàn)象接口偶爾會返回 200但是數(shù)據庫里的訂單狀態(tài)卻一直停在“處理中”而且日志里根本看不到任何異常。排查了兩天最后定位到一個很不起眼的地方——某個異步任務里有人寫了await Task.Delay(TimeSpan.FromSeconds(30))沒傳CancellationToken。結果就是請求超時被網關斷開后后端服務還在傻等等完之后繼續(xù)往下寫狀態(tài)。你說這算不算生產環(huán)境事故嚴格來說不算宕機但用戶那邊看到的就是“訂單卡住了”或者“按鈕點了沒反應”。這個項目讓我下決心把 .NET 取消令牌機制徹底梳理一遍。很多人對CancellationToken的理解停留在“能取消 Task 就行”的層面可真上了生產環(huán)境坑比想象中多得多。這篇文章不講教科書只講我從實際故障里總結出來的 5 個大坑以及每個坑背后的原理、排查思路和最終解法。如果你是寫 ASP.NET Core 服務、后臺任務、網關或中間件的人這篇文章值得你花十分鐘讀完并且直接抄走最后的公共模板。1. 取消令牌的工作方式它不只是一個“拋異常開關”先花點時間把底層機制講清楚。CancellationTokenSource下面簡稱 CTS是“總開關”它通過Cancel()觸發(fā)取消信號CancellationToken是分發(fā)給各個任務和方法的“信使”。這個設計把“取消的發(fā)起者”和“取消的響應者”徹底解耦——調用方不需要知道誰在處理任務被調用的方法也不需要知道是誰發(fā)起的取消。1.1 從 CTS 到 Token 的傳播鏈一個典型的取消鏈路是這樣的using var cts new CancellationTokenSource(TimeSpan.FromSeconds(10)); // 分發(fā) token 給下游任務 var result await ProcessOrderAsync(orderId, cts.Token);在ProcessOrderAsync內部又會把這個 token 繼續(xù)傳給更底層的數(shù)據庫操作、HTTP 調用等public async TaskOrderResult ProcessOrderAsync(int orderId, CancellationToken cancellationToken) { // 先檢查任務是否已經被取消 cancellationToken.ThrowIfCancellationRequested(); // 傳給數(shù)據庫 var order await _db.GetOrderAsync(orderId, cancellationToken); // 傳給下游 HTTP 服務 var stock await _stockClient.CheckStockAsync(orderId, cancellationToken); return BuildResult(order, stock); }這里的關鍵點是取消信號必須沿著調用鏈一層一層傳下去。任何一個環(huán)節(jié)丟失 token整條取消鏈路就會在這里斷掉。你可能在 Controller 層接到 token 后傳給了第一個 Service但那個 Service 內部調私有方法時忘了傳后續(xù)所有耗時操作就都失去取消能力了。1.2 回調注冊與主動檢查的取舍CancellationToken內部有兩種機制讓你“感知取消”一種是通過Register注冊回調另一種是在代碼里主動調用ThrowIfCancellationRequested或者檢查IsCancellationRequested。Register更像“訂閱通知”——取消發(fā)生時回調會被執(zhí)行。這個回調可能被注冊到任意線程上由 CTS 內部通過線程池調度執(zhí)行。適合做清理工作比如關閉文件流、釋放連接、寫日志。主動檢查則更適合“每執(zhí)行一段操作就停下來看看”的場景。比如你要循環(huán)處理幾萬條數(shù)據每處理 100 條就檢查一次 token避免一個超長循環(huán)把人家的取消請求晾在一邊。這兩者不是互斥的實際代碼里應該組合使用。但很多人只用了其中一個或者把回調注冊當擺設后面我會展開講。1.3 鏈條的斷裂點才是事故高發(fā)地生產環(huán)境里最常見的問題不是 CTS 用不對而是“信號發(fā)了但沒人聽到”。舉個例子// 錯誤示范 public async Taskbyte[] ReadFileAsync(string path) { var data await File.ReadAllBytesAsync(path); // 沒有 token return data; }這個方法如果被一個耗時的文件讀取卡住調用方就算取消了請求這個文件讀取也會繼續(xù)執(zhí)行直到讀完為止。如果同時有大量這種請求進來線程池很快就會被這些“僵尸任務”占滿。所以排查取消問題的時候我第一步會順著調用鏈把所有方法簽名翻一遍看看 token 是在哪一層開始“消失”的。這一步做完大概率能找出 70% 的問題。2. 陷阱一Token 只在入口處檢查底層 IO 根本聽不到取消指令這是所有坑里最隱蔽、也最影響系統(tǒng)穩(wěn)定性的一種。2.1 生產故障的典型現(xiàn)場某個內部系統(tǒng)在高峰期偶爾會有接口卡頓。表象是明明客戶端已經斷開連接了但服務端的任務日志顯示這個方法一直沒結束。更詭異的是進程里的線程數(shù)持續(xù)上漲任務積壓越來越多。用工具抓了 dump 之后發(fā)現(xiàn)大量線程卡在Task.Delay上還有一部分卡在 HTTP 調用的等待響應上。我當時一眼就看明白了入口方法簽名里有CancellationToken但調用鏈往下走三層之后token 就再也沒出現(xiàn)過了。public async Taskstring FirstLayerAsync(CancellationToken token) { var item await SecondLayerAsync(); // 忘了傳 token return item; } private async Taskstring SecondLayerAsync() { // 這里有一個遠程調用可能持續(xù)幾十秒 return await _client.GetStringAsync(url); // 同樣沒 token }2.2 把 Token 傳到位才是第一優(yōu)先級方法簽名里加一個CancellationToken參數(shù)看起來是小改動但對整個系統(tǒng)的影響是決定性的。我給自己定了兩條規(guī)矩現(xiàn)在每次寫代碼都會遵守所有可能耗時超過 100ms 的方法都必須接收CancellationToken。調用下游方法時只要對方提供了帶 token 的重載就一定要傳。這兩條聽起來像廢話但很多代碼老手都會犯“嫌麻煩”的毛病。尤其是項目里如果積累了老代碼很多方法從一開始就沒設計 token后來人接 try 的時候想傳也沒參數(shù)可傳最后就只能停留在“入口處檢查一下”的程度。2.3 數(shù)據庫和 HTTP 調用怎么正確傳遞以 EF Core 為例支持 token 的寫法很多人在用但用不完整var orders await _db.Order .Where(o o.UserId userId) .ToListAsync(cancellationToken); // 查詢時帶上其實SaveChangesAsync、FirstOrDefaultAsync、SingleOrDefaultAsync這些都有帶 token 的重載。如果是原生 ADO.NET 的話SqlCommand也支持CancellationTokenvar command new SqlCommand(sql, connection); // ... await command.ExecuteReaderAsync(cancellationToken);HTTP 調用方面HttpClient的所有異步方法也都支持傳 token。有一個非常容易被忽略的死角是GetAsync如果不傳 token內部用的是HttpClient.Timeout控制的超時但超時和取消是兩個概念。超時是指“我再也不等你了”取消是“調用方主動不要了”。如果你只靠HttpClient.Timeout兜底客戶端斷開后請求依然會在服務端跑完只是等到超時那一刻你才知道。2.4 遇到不支持的 SDK 怎么辦總有一些老第三方 SDK 的方法沒有 token 參數(shù)。這時候有幾種常見的兜底方案把調用包在Task.WhenAny里和“等待取消”的任務賽跑private static async TaskT WithCancellationAsyncT(TaskT task, CancellationToken token) { var tcs new TaskCompletionSourcebool(); using (token.Register(() tcs.TrySetResult(true))) { var completedTask await Task.WhenAny(task, tcs.Task); if (completedTask ! task) { throw new OperationCanceledException(token); } return await task; } }用Task.WaitAsync.NET 6給一個固定的超時和取消組合var result await task.WaitAsync(TimeSpan.FromSeconds(10), token);不過說實話上面這些方案都不如“改 SDK”來得干凈。第三方庫如果不支持取消優(yōu)先給作者提 issue 或者換一個維護更活躍的庫包一層WhenAny終究是權宜之計因為它會把取消信號“吞掉”底層任務可能仍然在跑只是調用方不再等它了。如果你非用不可得確保這個底層任務不會持有關鍵共享資源否則照樣泄漏。3. 陷阱二把取消異常當成普通錯誤處理導致超時統(tǒng)計全部失真第二個坑集中在異常處理上但它影響的不只是穩(wěn)定性還有監(jiān)控指標的正確性。3.1 OperationCanceledException 和 TaskCanceledException 的關系先厘清一個基礎概念TaskCanceledException繼承自OperationCanceledException。前者通常表示一個任務因為取消而中止后者更寬泛包含所有“操作被取消”的情況。生產環(huán)境里的常見誤操作是一個 catch 塊把所有OperationCanceledException都當成了“業(yè)務失敗”記錄錯誤日志、增加失敗計數(shù)、甚至返回 500 狀態(tài)碼。結果就是調用方明明是因為超時/主動取消而斷開服務端卻把它記成一次“系統(tǒng)異常”告警不斷監(jiān)控圖全花。3.2 “取消”和“失敗”混淆的后果舉個例子。一個下訂單接口設置了 5 秒超時using var cts new CancellationTokenSource(TimeSpan.FromSeconds(5)); try { var result await _orderService.CreateAsync(orderId, cts.Token); return Ok(result); } catch (Exception ex) { _logger.Error(ex, 創(chuàng)建訂單失敗); // 取消也被記成了失敗 return StatusCode(500); }如果下游數(shù)據庫壓力大5 秒內沒響應cts到時間自動取消CreateAsync就會拋OperationCanceledException。上面的代碼把這個異常當成了創(chuàng)建失敗接口返回 500?？蛻舳耸盏?500 后可能觸發(fā)重試重試又打來一波請求進一步加劇數(shù)據庫壓力——一個純粹的取消場景硬生生變成了雪崩的導火索。3.3 一套可落地的異常區(qū)分模板正確做法是在 catch 時區(qū)分“真正的失敗”和“取消”。我通常這樣處理try { var result await _orderService.CreateAsync(orderId, cts.Token); return Ok(result); } catch (OperationCanceledException) when (cts.IsCancellationRequested) { // 主動取消或超時取消不記錯誤日志按 499 或直接返回 _logger.LogInformation(訂單創(chuàng)建已被取消訂單號 {OrderId}, orderId); return StatusCode(499); } catch (Exception ex) { _logger.LogError(ex, 創(chuàng)建訂單失敗訂單號 {OrderId}, orderId); return StatusCode(500); }注意when (cts.IsCancellationRequested)這個過濾條件。有些情況下OperationCanceledException是下游某個操作自己拋的不代表當前這個請求被取消。通過判斷當前 CTS 的狀態(tài)可以精確區(qū)分“外部取消”和“內部異?！薄＿€有一個細節(jié)如果你在自己的業(yè)務代碼里主動ThrowIfCancellationRequested()異常堆棧上會有明確的調用點但如果你依賴框架層自動拋出的取消異常通常會在異步狀態(tài)機層面比較難看。為了便于排查我建議在業(yè)務關鍵路徑上主動調一次ThrowIfCancellationRequested這樣一旦出問題堆棧能直接指到業(yè)務代碼位置。至于日志和指標取消不應該記入錯誤率。我們會單獨記一個canceled指標用來觀察是哪些接口高頻被取消這往往是上游超時設置不合理或者下游響應過慢的預警信號。把取消和錯誤混在一起統(tǒng)計的監(jiān)控大屏很容易讓你在復盤時做出完全錯誤的判斷。4. 陷阱三注冊回調的線程安全隱患與任務假死這個坑主要出在Register的濫用和異步等待的誤用上。很多人一旦知道“取消時可以注冊回調”就會興奮地在回調里塞一堆邏輯結果反而制造了新的問題。4.1 Register 回調里不要執(zhí)行耗時操作Register回調默認運行在調用了Cancel()的那個線程上也就是說誰觸發(fā)取消誰就要順帶把這些回調執(zhí)行完。如果你的回調里有阻塞操作——比如等鎖、調數(shù)據庫、刷日志——那么發(fā)起取消的那個線程會被阻塞住。更隱蔽的是如果回調里拋出了異常這個異常會傳播到調用Cancel()的線程上很可能直接導致某個后臺任務崩潰。清理回調的正確姿勢是只做輕量級的標記、信號量釋放或者TaskCompletionSource的TrySetResult把真正的耗時清理放到等待任務的本體里。// 這是推薦的寫法 token.Register(() cleanupSignal.TrySetResult(true)); // 而不是 token.Register(async () { await _db.SaveChangesAsync(); });異步 lambda 更不能直接注冊。Register的回調類型是Action異步 lambda 編譯后會變成async void異常直接拋到線程池根本抓不到。如果你真的需要在取消時做異步清理請在外面先await一個等待取消的任務再執(zhí)行清理。4.2 同步上下文死鎖是最膈應人的事故ASP.NET Core 默認沒有同步上下文所以現(xiàn)代 Web 應用一般不踩這個坑。但在 WPF、WinForms、Xamarin 或者一些需要依賴同步上下文的項目中死鎖依舊存在。典型的場景UI 線程里直接.Result或.Wait()等待一個異步任務而這個任務內部又在取消回調里嘗試回到 UI 線程執(zhí)行于是兩邊互相等任務假死。這其實是“取消”放大了原本就存在的異步阻塞問題。你在生產環(huán)境里尤其要小心那些“偽異步”代碼——比如在BackgroundService里同步等待、在事件處理器里.Wait()。4.3 Task.WaitAsync 不是萬能鑰匙.NET 6引入了Task.WaitAsync允許你給一個任務同時指定超時和取消令牌。很多人拿它解決“SDK 不支持取消”的問題但它有個副作用WaitAsync取消之后底層任務并不會被取消它還在跑。也就是說WaitAsync只是“我不等你了”不是“讓任務停下來”。后來我養(yǎng)成了一個習慣只用WaitAsync作為最后防線同時一定跟蹤底層任務的狀態(tài)。如果是用WhenAnyRegister的自定義 wrapper我會在 wrapper 里保證最終把底層任務的異?；蛘呓Y果消費掉避免 UnobservedTaskException 的產生。這里還要補一句打斷阻塞任務 ≠ 取消任務。Thread.Interrupt、Thread.Abort這些就別再用了CancellationToken是協(xié)作式取消不是強制殺死線程。指導思想是“讓任務自己意識到該停了”而不是“把任務連根拔起”。5. 陷阱四Cts 不釋放導致的定時器堆積與內存壓力如果前面的坑屬于“功能不對”這個坑屬于“性能耗損”。它很慢但會在高并發(fā)下悄悄壓垮你的進程。5.1 CancelAfter 背后的 TimerQueue 機制CancellationTokenSource有一個構造函數(shù)帶TimeSpan參數(shù)也可以調用CancelAfter實現(xiàn)“到時自動取消”。這背后的實現(xiàn)不是簡單的Thread.Sleep而是基于 .NET 內置的定時器隊列TimerQueue。每個 CTS 被創(chuàng)建并設置CancelAfter后它內部就會在TimerQueue上注冊一個定時器節(jié)點。大量短期 CTS 如果頻繁創(chuàng)建但不釋放定時器節(jié)點就一直在隊列里掛著。每次設置CancelAfter都會觸發(fā)定時器鏈表的插入、排序、掃描當并發(fā)量上來之后這些操作會積累成肉眼可見的 CPU 和內存開銷。5.2 LinkedCts 與回調訂閱泄漏CancellationTokenSource.CreateLinkedTokenSource是一個很常用的 API用來把多個 token 合并成一個。它內部會在每個被連接的源上注冊回調。如果你創(chuàng)建了很多 LinkedCts但用完之后沒有Dispose這些回調引用會一直存在導致外層 CTS 無法被 GC 回收形成內存泄漏。這個泄漏特別隱蔽因為你看不到一個單獨的“大對象”而是無數(shù)個小對象互相引用用 dotMemory 或者 dump 分析才能揪出來。定位到之后你會發(fā)現(xiàn)某個長期運行的服務內存只增不減就是因為一個CreateLinkedTokenSource沒有釋放。5.3 高吞吐場景下的統(tǒng)一釋放策略我現(xiàn)在的做法是CTS 一律用using包裹并且Dispose和Cancel的順序要謹慎。共享一個剛改過的模板public async TaskResponse HandleAsync(Request request, CancellationToken requestToken) { // 先把外部 token 和本地超時合并 using var timeoutCts CancellationTokenSource.CreateLinkedTokenSource(requestToken); timeoutCts.CancelAfter(TimeSpan.FromSeconds(10)); // 業(yè)務處理 try { return await Process(request, timeoutCts.Token); } catch (OperationCanceledException) when (!requestToken.IsCancellationRequested) { // 本地超時導致的取消可以單獨處理 return Response.Timeout(); } }這里有兩條經驗外部傳入的 token 不要自行Dispose。它由創(chuàng)建者管理你只負責使用。自己創(chuàng)建的 CTS 一定要Dispose。using是最省心的方式。如果有些地方實在不能用using就在finally里手動Dispose。釋放這個動作還有一個隱藏的好處它會觸發(fā)內部清理邏輯斷開注冊的回調引用讓 GC 能更早回收相關對象。在高并發(fā)場景下這一步做與不做內存曲線的差別非常大。6. 陷阱五取消成功之后的“半完成狀態(tài)”沒有兜底最后一個坑嚴格來說是“取消后的善后邏輯”沒有設計好。很多人以為取消令牌只影響任務的“提前終止”但生產環(huán)境里更常見的問題是任務被取消了但是數(shù)據被寫進了一個半完成的狀態(tài)或者后續(xù)邏輯因為這次取消產生了錯誤數(shù)據。6.1 Finally 里的清理邏輯是否冪等一份比較典型的錯誤代碼長這樣var order await _db.GetOrderAsync(orderId, token); try { order.Status OrderStatus.Processing; await _db.SaveChangesAsync(token); // 遠程扣庫存這個調用比較慢 await _inventoryClient.DeductAsync(orderId, token); order.Status OrderStatus.Completed; await _db.SaveChangesAsync(token); } finally { // 這里如果被取消order.Status 還是 Processing而且可能壓根沒保存 // 如果你在 finally 里做了補償又可能因為網絡重試導致重復扣庫存 }假設DeductAsync在執(zhí)行到一半時被取消catch沒有兜底finally也沒做任何狀態(tài)修正整個訂單就停留在Processing。如果下游有一個掃描“處理中超過 5 分鐘”的定時任務它會把這條訂單撈出來重新處理重新去扣庫存——這就是經典的重復扣款問題。解決思路不是讓finally越復雜越好而是把整個操作設計成“階段化 冪等”的每個階段開始前檢查 token確保不進入一個注定無法完成的分支。取消發(fā)生后把當前狀態(tài)寫清楚比如PendingRecovery并單獨記錄一條“補償日志”。補償操作必須有全局唯一的業(yè)務鍵數(shù)據庫加唯一索引保證任何重試都不會重復扣款。6.2 取消后更新狀態(tài)記錄的競態(tài)還有一個小型競態(tài)取消回調里你更新了內存標記而業(yè)務代碼同時在寫數(shù)據庫。如果取消發(fā)生在SaveChangesAsync的提交期間EF Core 會怎么處理實際上它會在內部檢測到取消并回滾當前事務可能拋出的并不是OperationCanceledException而是DbUpdateException具體取決于運行時內部流程。這個問題在低版本運行時里面出現(xiàn)過所以不要假設“取消了就一定能收到取消異常”。6.3 干凈的三態(tài)設計完成、失敗、取消到我手上的項目我會建議業(yè)務接口在設計階段就把“取消”定義為一種顯式的終態(tài)而不是“未知”。比如訂單狀態(tài)枚舉里必須有Canceled這個值并且取消之后如果還有未完成的子任務發(fā)短信、推送、發(fā)送 webhook需要走專門的“延遲重試隊列”而不是當作失敗立刻重試?！叭∠北旧硎强梢宰鳛橐淮魏戏I(yè)務流程結束的——業(yè)務方主動放棄、超時未完成都應該有對應的狀態(tài)收斂。切忌把取消當成異常、把異常當成失敗、把失敗當成重試信號。一個只含Success/Failed兩態(tài)的系統(tǒng)碰上取消必出幺蛾子。7. 生產環(huán)境可復用的取消策略一個公共模板到了收尾的部分我把自己常用的一套取消策略框架寫在這里。它不是銀彈但至少能幫你把前面 5 個坑都堵上大部分。7.1 公共 TokenHandler 的設計我習慣封裝一個CancellationContext類把 CTS、外部 token、超時策略和清理回調統(tǒng)一管理起來。大致骨架如下public sealed class CancellationContext : IDisposable { private readonly CancellationTokenSource _linkedCts; public CancellationToken Token _linkedCts.Token; public CancellationContext(CancellationToken externalToken, TimeSpan timeout) { _linkedCts CancellationTokenSource.CreateLinkedTokenSource(externalToken); _linkedCts.CancelAfter(timeout); } public void Cancel() _linkedCts.Cancel(); public void Dispose() _linkedCts.Dispose(); }使用的時候using var ctx new CancellationContext(requestToken, TimeSpan.FromSeconds(10)); var result await DoWorkAsync(ctx.Token);這個封裝帶來的統(tǒng)一好處是超時、外部取消、主動調用Cancel()全都會觸發(fā)同一個 token。你不需要在每個業(yè)務方法里都去構建 CTS。7.2 壓測與診斷手段再分享一個診斷經驗。如果懷疑取消沒生效先別急著加代碼。我會先做一輪壓測在壓測過程中手動觸發(fā)取消模擬客戶端斷開然后看兩件事線程池活動線程數(shù)是否回落。如果不回落說明有不少任務仍然阻塞著取消信號沒起效。進程內存是否持續(xù)增長。如果增長重點檢查所有創(chuàng)建了 CTS 的地方有沒有釋放。一些診斷命令對這類問題很有用比如查看線程池狀態(tài)、抓 dump 分析任務堆棧等等。如果任務堆棧全都停在等待庫函數(shù)調用的地方那基本就是 token 沒傳到底層如果停在Task.Delay或同步等待上那就是內部有阻塞調用沒走異步。7.3 分享幾條個人經驗文章寫到這我最后想說的經驗可能有點反常識取消令牌設計的重點不在于“怎么取消”而在于“取消之后怎么收場”。一開始我也愛研究Register、ThrowIfCancellationRequested、WaitAsync這些 API 的底層實現(xiàn)但真正把生產環(huán)境搞崩的往往不是 API 不會用而是整個鏈路少了某幾個 token或者在 catch 里把取消當成異常。你在代碼評審的時候可以專門多問一句“如果這個操作被取消了數(shù)據庫里會留下什么狀態(tài)”很多問題當場就能暴露。另外盡量把超時和取消分開理解。超時是可以預測的放棄取消是不可預測的中斷。兩者都需要收斂到明確終態(tài)。把超時也設計成一種“內部原因的取消”是常見做法但必須能區(qū)分它和外部取消否則監(jiān)控數(shù)據和用戶反饋會互相矛盾。這個領域還有很多細節(jié)可以聊比如自定義 Awaitable 的取消響應、分布式任務里如何把取消信號傳遍集群等等。先把手頭的 5 個坑填平比摸更多花哨 API 更實在。希望這篇文章能讓你在下一次代碼評審里少看到一行Task.Delay(3000)后面沒跟 token。