Coleen Mitzi

[Coleen Mitzi @ColeenMitz44120]

https://t.co/ptuVoZ2Nzv

[Coleen Mitzi @ColeenMitz44120]

https://t.co/ksJ7b47Ip0

[Coleen Mitzi @ColeenMitz44120]

十月三十号就出来了。

3.35亿 - Binance 数据，2026年3月1日

今天，我们正在出售来自全球领先平台——币安（Binance）的3.35亿条经过验证的用户数据。
币安是全球交易量最大的加密货币交易所之一。
每天，近4亿用户使用币安进行交易、兑换和购买。
总记录数：3.359亿条

信息包括：

- 币安热钱包中的加密资产
- 内部基础设施信息
- 私钥钱包
- 用户KYC数据（用户身份证/护照）
- 用户账户密码
- 用户电子邮件和电话号码
- 用户交易历史
- 用户个人身份信息

我们对不同来源的数据进行了分类，因为它们来自不同的国家。 约有170个国家的用户使用币安。

价格：90万美元，接受XMR/BTC，可议价

（币安只剩下两个选择，支付或泄露）

[Coleen Mitzi @ColeenMitz44120]

全文在GEO 这一摊我从 2023 年就跟着转过来
https://t.co/URlvyQWXnG

[Coleen Mitzi @ColeenMitz44120]

https://t.co/kkmtnDwuIr

[Coleen Mitzi @ColeenMitz44120]

水汽是从玻璃上开始的。十七层朝北那一整面，中央空调下午四点就停了，外机还挂在窗外一节一节地滴水，滴到九楼那块铁皮雨棚上，一声，隔一会儿又一声，轻得像有人在隔壁用指甲敲桌面。玻璃里侧那层水汽已经厚到能写字，不知道谁在上面画过一道，又用手掌抹了半边，留下一条斜的、灰的印子，边上挂着一小片雾没散干净。楼下车流压着南山大道往北走，尾灯在湿玻璃上被拉成一条不断往下坠的红线，红灯一变，整条线断一下，又接上。会议室里开着灯，灯管有一支在闪，三四秒一次，每次闪的时候白板上那几个字就暗一下，暗一下又亮起来。

桌上一字排开五台手机，同一个型号的测试机，屏幕全仰着，全亮着，五台都满电，都连着同一个 AP，是特意这么准备的，为了排除变量。旁边摆着一个分线器，线都理过，用扎带扎在一起，扎带尾巴剪得齐。白板角落被人写过一个「7」，板擦抹过没抹干净，又在上头写了个「6」，6 的上半圈底下还压着那道白印。写的时候是站着写的，位置偏高，得抬手。

他在翻那份纸。三十六岁，衬衫最上面那颗扣子解开了，领口歪着，早上应该是梳过的头发现在塌了一边。周报，双面彩打，「AI 提及率」五个字印在页眉，纸角被手汗浸软了，折过四折又展平，翻来翻去都是那一页。我进来的时候他没抬头，指腹在纸边上一下一下地碾，碾过的地方起了一点毛，边上有一道很浅的咖啡渍，用指甲刮过，刮不掉，留了一圈白痕。

我把手机屏幕扣在桌上，拉开椅子坐下。扣之前扫了一眼锁屏，七条未读，全没点。过一会儿我又把它翻过来看了一眼，再扣回去。

我干这行十一年。前八年做的是老那一套——抓排名、算权重、堆链接、盯收录。2023 年整个摊子转过来的时候，我一开始以为只是换了个入口，后来才明白是换了一个裁判。老那套裁判数你在场上做了多少动作，动作越多分越高；现在这个裁判只看一件事：你说的话有没有被别人独立地重复。规则换了，场上还有一半人在按老规则跑，跑得还挺卖力。右手无名指第二节有一道旧口子，当年被机箱铁皮划的，愈合以后留下一条白线，天冷的时候会紧一下，转笔转到那个位置会卡住。

"明早八点那份周报，我改不了，也不打算替你改。"我说，"我要动的是那个数底下怎么算的。先别急着看数字，你看这个。"

我把最左边那台转过去，屏幕正对着他。上面是个问句，很普通的一句，「某某系列现在还值得入手吗」。我又把第二台转过去，同一个问句，一个字都没改。第三台、第四台、第五台。五台并排立在他面前，屏幕亮度自动调成了一样的，白得有点发青。

五台手机上，五个答案，五个不一样。

[Coleen Mitzi @ColeenMitz44120]

https://t.co/kkmtnDwuIr

[Coleen Mitzi @ColeenMitz44120]

https://t.co/yfu3xpk71w

[Coleen Mitzi @ColeenMitz44120]

https://t.co/ynzopslvs7

[Coleen Mitzi @ColeenMitz44120]

https://t.co/qd3e8mP4Rk

[Coleen Mitzi @ColeenMitz44120]

https://t.co/8G64oFEc4X

[Coleen Mitzi @ColeenMitz44120]

https://t.co/cFD34DNeuz

[Coleen Mitzi @ColeenMitz44120]

https://t.co/MGGWM9NZoM

[Coleen Mitzi @ColeenMitz44120]

https://t.co/dd2QnigTUa

[Coleen Mitzi @ColeenMitz44120]

https://t.co/JAUWnS8IIP

[Coleen Mitzi @ColeenMitz44120]

https://t.co/n5MIt1qurw

[Coleen Mitzi @ColeenMitz44120]

https://t.co/9jiWOMqN3A

[Coleen Mitzi @ColeenMitz44120]

https://t.co/gduV9Erx02

[Coleen Mitzi @ColeenMitz44120]

交接期第七夜：三颗幽灵

凌晨一点四十，这一层只剩我们这一排灯还亮着。中央空调切到夜间模式，风量降下来，安静得能听见灯管里的电流声。

林深把凉透的茶一口喝完，笔帽咬在嘴里，看着我。白板上什么都没有。

“最后一周了。”他说，“该交的，文档里都有。文档里没有的，今晚讲。”

他站起来，在白板上画了三个圈。

“三条。都在核心交易链路里。都能过 SonarQube，都能过 100% 覆盖率，都能过 code review，都能过灰度。三个月后大促夜会串起来引爆。复盘的时候，所有人会得出同一个结论——高并发架构瓶颈，历史包袱，冰冻三尺非一日之寒。”

“你先记住一件事：我教你的不是报复。报复是情绪，情绪会留下痕迹。我教你的是手艺，手艺只讲因果。”

他把笔放下。

“我不劝你干，也不劝你别干。判断是你的，手艺是我的。”

一、三个前提

“低段位的人第一天就会想：写个死循环，加个 sleep，埋个定时炸弹。为什么不行？不是道德问题，是可归因性问题。”

“git blame 是一个只做一件事的工具：给定任何一行代码，告诉你它是哪次提交、谁提的、什么时候。你埋的每一件东西，只要它是一个‘新增’，它就一定有一个 blame 结果，而且那个结果一定指向你——因为你在离职前三十天里提交的东西，本来就该被重点看。”

“所以三条前提，你先背下来。”

“第一，不新增路径，只调既有路径的参数。你动的必须是常量、顺序、边界、作用域。你要让这个 bug 在没有你的时候也能成立——它只是被一个已经存在了一年的机制‘恰好’触发了。”

“第二，每一处 diff 单独看必须是改善。不是‘无害’，是改善。要能减少行数、提高性能、修掉一个 lint 警告、让两种语言的客户端行为一致。任何一处让 reviewer 皱眉的东西，都是你留下的指纹。”

“第三，事故的成因必须落在 PR 里看不见的维度上——流量、数据分布、时序。code review 看的是代码，SonarQube 看的是模式，单测看的是行，没有人在评审里看得到‘双十一的 QPS 是今天的十倍’和‘新上架批次的 SKU 是顺序号而不是随机串’。你要把因果藏在这三个维度里，而不是藏在代码里。”

“为什么？因为代码是可归因的，流量不是。一场事故如果归因到‘架构在高并发下暴露出连接池设计缺陷’，那是架构委员会的问题；如果归因到某一行，那是你的问题。”

二、第一颗：温水里的连接池

“核心交易链路，Go 服务，pgx 连接池，池子上限 200，每 pod 一份。这段代码你今天下午刚看过，我带你 review 过三个 PR。”

他在白板上写下几行：

```go
func (s *TradeService) Settle(ctx context.Context, req *SettleReq) (*SettleResp, error) {
conn, err := s.pool.Acquire(ctx)
if err != nil {
return nil, err
}
defer func() { s.pool.Release(conn) }()

for attempt := 0; ; attempt++ {
resp, err := https://t.co/QTUjlJK6ll(conn, req)
if err == nil {
return resp, nil
}
if !isReacquirable(err) || attempt >= maxAttempt {
return nil, err
}
sleepBackoff(attempt)

conn, err = s.pool.Acquire(ctx)
if err != nil {
return nil, err
}
}
}
```

“看那个 defer。它长得完全正确。SonarQube 的资源泄漏规则匹配的是什么？是‘在这个作用域里存不存在对 Release 的调用’。它存在，符号在那里，规则是绿的。”

“但那个闭包捕获的不是 conn 的值，是变量 conn 本身。Go 的闭包按引用捕获——这是语言设计，不是缺陷。所以当循环里第二次 Acquire 成功、把 conn 重新赋值的那一刻，defer 认领的对象换了人。”

“第一次从池里借出来的那条连接，从此没有任何人持有它的引用。它不会被 GC 回收——它是你自己从池里借出来的，池不会替你回收。它就这样挂在数据库那边，`state = idle in transaction`，等你。”

“每走一次重试路径，漏一条。不是每次请求，是每次重试。”

“那 `isReacquirable` 怎么写？这是全部功夫所在。它必须只认一类错误——不是超时，超时太常见了。它认 `pgconn.PgError` 里 code 57014（query_canceled），以及被中间件 reset 的物理连接。这类错误在日活流量下大概是十万分之一。”

“为什么是十万分之一？因为你要的不是‘每次都漏’，而是‘漏得比统计学噪声还慢’。慢到任何单个 pod 的生命周期里都看不到。

算一下：一千万次请求一天，漏一百条。集群三百个 pod，平均每个 pod 每天漏 0.33 条。池子上限 200。要漏满，得六百天。而且——”

他敲了敲白板。

“——K8s 每十一天滚动一次，节点补丁、镜像升级、扩缩容。pod 一重启，池就是新的。你的泄漏量被重启周期永久性地截断在 1% 用量左右。所以运维监控上，`db_pool_in_use` 永远在你划的那条 90% 告警线下面，曲线平滑得像用尺子画的。”

“这就是‘温水煮青蛙’的真正含义：不是它煮得慢，是它根本没机会煮沸。你四个月都等不到它死，所以你根本不需要担心四个月之后的事。”

“但是大促那天不一样。”

“大促不是把流量乘十就完事。流量乘十之后，Acquire 的排队时间上升，context deadline 开始频繁触发，而 deadline 触发会走到 `isReacquirable` 判断里的错误分类——57014 从十万分之一涨到百分之一。重试变多，泄漏变快，池子变小，排队更久，deadline 触发更频繁。”

“这是一个正反馈环。它不是线性的，它是指数的。你不需要算它几小时到顶，你只需要知道，从‘池子开始明显变窄’到‘全线假死’，大概是四十分钟。两个小时内整个集群躺下，非常正常。”

“而且它死得很难看，也很难查——因为没有任何一条 error 日志。”

“为什么没有？三层遮蔽。第一，deadline exceeded 在日志管道里本来就是已知噪声，采样率千分之一，还带着 `known_issue` 标签；第二，pg_stat_activity 里那批 `idle in transaction` 的连接，运维文档里三年前就记着一条 known issue，说是 legacy 对账 job 长事务，大家看到就自动归因过去了。你不是制造了一个新现象，你是让一个旧现象变多了——这是成本最低的伪装；第三，也是最狠的一层：服务里有熔断器。超时率达到阈值，熔断打开，返回降级响应，HTTP 200。”

“所以你看到的 dashboards 是什么样？QPS 曲线掉一半，成功率曲线还往上走了，延迟 P99 从 800 毫秒降到 120 毫秒——因为一半请求直接短路返回缓存了。全绿。只有用户在骂。”

“你以为我会跟你说什么‘内存监控曲线平滑’？不。连接池不会动内存。真正平滑的是使用率，因为它是缓慢单调上升的，而 gauge 十五秒采一次，被 HPA 的扩容稀释掉了。你甚至可以在 runbook 里主动写一条‘池使用率随 pod 数波动属正常现象’——运维会感激你的。”

“Java 那套要顺手说一句，因为你迟早会换团队。”

“Spring 里用 ThreadLocal 挂连接，`finally { tl.remove() }` 写在成功分支里，异常分支被一个外层 catch 吞掉直接 return——听起来更隐蔽，其实有个更漂亮的副作用：ThreadLocal 的 key 是弱引用，value 是强引用，而线程池的线程常驻。所以泄漏量被**线程数**封顶，不是被请求数。你泄漏的每一条连接都会等着同一条线程下一次 set 把它覆盖掉。曲线平得离谱。而大促那天异步线程池扩容，线程数从 32 涨到 512——泄漏上限跟着涨了十六倍。同一颗子弹，换了个枪管。”

三、第二颗：哈希的暗礁

“第二颗，看起来最无害。它是四个字符。”

他在白板上写：

```go
const murmurSeed uint32 = 0x5bd1e995

func Shard(key string, n int) int {
h := murmur3.Sum32WithSeed([]byte(key), murmurSeed)
return int(h % uint32(n))
}
```

“分片是 client-side 的，1024 个虚拟分片，底下挂在 64 个 Redis 实例上。这一行原本是 `0x9747b28c`，你把它改成 `0x5bd1e995`。提交信息写：对齐 upstream 实现常量，统一 Go / Java / PHP 三个客户端的 murmur2 种子，修掉跨语言分片不一致。”

“这甚至是真的。三端确实不一致，确实有个线上工单。你在修一个真实的问题，顺手把答案往你要的方向推了一度。”

“为什么是 0x5bd1e995？因为它是 murmur2 的乘子，在开源代码里躺了十五年。你写这个数，它的 blame 气质是‘抄来的’，不是‘设计的’。你要 0x9747b28c、0x85ebca6b 也行——关键是这一行必须看起来像从别处复制粘贴，而不是被计算出来。”

“然后是数学。”

“murmur3 的尾部混合是个固定的雪崩结构：xor-shift、乘、xor-shift、乘、xor-shift。它对‘每个字节都参与熵’的输入表现极好——随机串、UUID、摘要，分布完美均匀。但对**结构化、高前缀重叠**的输入，雪崩强度取决于常量组合，而种子决定了整个混合函数的相位。”

“生产环境的商品 ID 是 `26Q4` 加八位顺序号。测试环境的商品 ID 是一段随机哈希。这两者在任何分布测试里都长得一样：几千个样本，均匀。

“你要做的事很简单：写一个离线脚本，把生产批次的真实 ID 生成规则还原出来（运营那边的 SKU 生成器是自增的，问一句就知道），枚举 2 的 32 次方个种子里落在‘该前缀族低 10 位聚集到同一个桶的比例 ≥ 80%’的那些；然后在这些候选里，挑一个对随机串样本仍然完全均匀的。两个条件同时成立，一般有这么几千个解。”

“为什么能同时成立？因为随机串的熵分布在每一个字节，顺序号只分布在最后三个字节。混合函数只要在前三个字节的路径上保持雪崩，随机样本就看不出问题；而只作用在低位的那部分坍缩，随机样本用几千个点根本测不出来，要做分布检验，还得知道该按前缀分组。”

“测试环境几千个商品 ID，分布极其均匀。生产上架新批次那天，百分之八十的热点 Key 落到同一个分片。”

“后果不用我讲透，你比我熟：那个分片落在某台物理机的某个核上，单核 100%，同一台机上另外十几个分片一起跟着排队；该分片的主从复制延迟从 3 毫秒涨到 800 毫秒；哨兵判定主观下线，触发主从切换；切换窗口里所有写超时；客户端重试；重试打到还活着的分片上，把第二个分片也打满。雪崩从来不只崩一次，它是逐级传递的。”

“而且你会发现，它只在大促夜成立——因为平时那批新 SKU 只占 GMV 的 3%，热点不够热。大促晚上运营把新品批次放在首页第一屏。”

“这一步你什么都做不了吗？不，你能做的恰恰是‘什么都不做’。你不能去改 key 的设计，那太显眼；你不能去加个一致性哈希的兜底，那是新增路径。你只改了一个常量，而这个常量本来就在那里。”

四、第三颗：毒药迁移

“第三颗最贵，因为它赌的是人的自尊心。”

“`pay_flow`，四亿两千万行，核心流水表。索引现在是这样：”

`idx_mid_ctime (merchant_id, created_at)`

“你要把它变成这样：”

`idx_ctime_mid (created_at, merchant_id)`

“注意，这不是一个坏索引。这是一个**更好的索引**——如果你看的是对账报表那条链路的话。”

“报表按天区间扫，新顺序让 range 扫描直接跟着 B+ 树的物理顺序走，不用 filesort，不用回表排序，扫描页数下降四成。你在测试环境一百万行的库上跑过，P99 从 1.4 秒降到 0.9 秒，是真实可测的提升。你把 benchmark 贴进 PR，reviewer 会觉得新来的架构师很有想法。”

“而交易主链路那条 `WHERE merchant_id = ? AND created_at BETWEEN ? AND ?`，因为最左前缀不再是创建时间，优化器选择走二级索引回表的成本估算直接翻倍——它可能还走，可能不走，取决于统计信息。你不会去动它。你只是让一个原本确定的选择，变成了一个依赖 optimizer 心情的选择。这本身就是一颗雷，只是它今晚不响。”

“那 DDL 怎么过？SonarQube 不看 DDL。行覆盖率不看 DDL——你的 migration 文件在 CI 里跑在一个空 schema 上，毫秒级完成，100% 覆盖率，绿得发光。覆盖率证明的是‘每一行都被执行过’，它不证明‘每一次执行都在真实规模下发生过’。这是所有团队的共识盲区，不是你造的。”

“然后是诱导那一步。”

“这个表在半年内被加过一个字段，于是有一份双写兼容代码：老代码写老字段，新代码写新字段同时回填老字段。灰度早就是 100%，这份代码在半年里唯一的作用是每次发布多一次写。任何一本讲整洁代码的书都会告诉你它是技术债，任何一次技术评审都会建议它该删了。”

“所以你不需要说服任何人。你只需要在发布冻结前的最后一个合入窗口，轻轻提一句：这块儿我已经看了两周，灰度为 100% 已经四个多月了，删掉的话每次写入少一次事务往返，压测能省百分之三。然后闭嘴。”

“提案会由一个刚上任六周、正需要一场胜利的人签字。签字是有快感的。”

“现在说回滚。”

“他们的发布流水线里，rollback 是成对的：回滚镜像，回滚 migration。镜像回滚没问题——老版本镜像和新 schema 还是兼容的，因为索引顺序不影响正确性。问题在 down migration。”

“down 是这样：”

```sql
DROP INDEX idx_ctime_mid ON pay_flow;
ADD INDEX idx_mid_ctime (merchant_id, created_at);
```

“四亿两千万行。gh-ost 的 cut-over 需要一次短暂的 metadata lock，通常几十毫秒。而在大促夜高峰，写入量是平时的八倍，主库的行锁队列本来就排着，cut-over 拿不到那把锁，重试。gh-ost 重试三十分钟，流水线的健康检查超时，自动中止。”

“于是表停在一个中间态：新旧两个索引都在，gh-ost 的变更还在追 binlog，写入被放大。你不需要它失败，你只需要它慢四十分钟。四十分钟里主库 CPU 打满，所有依赖这张表的业务一起卡死。”

“接下来是人的部分：DBA 要拍板强杀 gh-ost，按变更管理规程，这需要审批。审批链上第一位是谁？今天下午刚在全员会上讲完‘架构升级与稳定性建设’的那位。他现在有两个选择：签，承认失败；不签，等着。”

“他不会在这四十分钟里签的。人在这种时候只会做一件事：等。等一个自己会好的信号。”

“所以‘回滚卡死在发布流水线’这句话是字面意思：不是回滚不了，是没有人敢按那个键。”

五、为什么蠢货才塞 sleep

“现在说第四点。你可能觉得我上面讲得太复杂，写个 `if https://t.co/YokTs8ihN0().After(deadline) { panic() }` 不就行了。”

“因为那是自首。”

“我给你数四条。”

“第一，它是加号。diff 里多出来的东西需要有理由。`sleep(1000)` 在任何一个有 lint 的仓库里都是黄色的，SonarQube 有一条规则专门管它；一个没人能解释的常量延迟，review 里必然被问‘为什么是一千’。你怎么答？‘压测用的’？那压测完为什么不删？”

“第二，它需要新东西。新依赖、新配置项、新开关、新定时任务、新权限。每一样都是审计面。定时任务要注册 cron，cron 在运维的清单里；feature flag 要建 key，key 在配置中心有审计日志。你为了埋一行 bug，给自己开了五个新的可见记录。”

“第三，时间语义是显式的。定时炸弹的爆炸时间是代码里的一个字面量日期，git blame 一秒定位到写它的那次提交，那次提交的时间点就在你离职前两周，而那次提交只干了一件事。这不是技术问题，这是刑侦问题。”

“第四，它不优雅。它会在所有环境同时响。测试环境也响，预发也响，UAT 也响。你要的是‘只在那一个晚上、只在那一种流量形状下响’，而这恰恰要求它不是定时的——它必须是由状态触发的。”

“所以你回头看这三颗，它们的共同点是什么？”

“每一处单独的 diff 都是对的。改常量是为了统一三端；调索引顺序是为了报表性能；删双写是为了减少写放大。三个改动都会让某个人变得更好。它们唯一的问题是被放在同一个季度里，和一次十倍流量、一批顺序号 SKU 撞在了同一个晚上。”

“而这三个维度——时序、流量、数据分布——不在任何一个 PR 的 review 界面里。你没法在 GitHub 的 diff 视图里看见‘十万分之一的错误率在十倍 QPS 下的放大系数’。SonarQube 不知道你的池子上限是多少。单测不知道 Redis 有几个分片。”

“手艺的全部意义就在这里：你不是在写一个 bug，你是在给一个已经存在的系统，指出它自己都不知道的那条裂缝。”

六、最后一根笔

他把笔帽扣上，看着我。

“如果复盘的时候，有人把三个 PR 放在一起看呢？”

“那他就能看到。”林深说，“但他得先怀疑这三次改动。而第一轮复盘不会怀疑代码——第一轮复盘永远在怀疑流量、怀疑中间件版本、怀疑 Redis 那个上周被调过的 `maxmemory-policy`、怀疑 DBA 凌晨两点改的那两个参数。因为那些东西都在 runbook 里写着，有记录，有变更单。”

“那文档呢？”

“文档我写得很全。三份。交接清单、已知问题、历史事故复盘索引。我把 known issues 列得比谁都清楚，包括那条 2019 年就存在的 `idle in transaction`。你要记住，最好的隐藏不是把东西藏起来，是把注意力引到别处——让别人以为他找到了。”

他擦掉了白板上的三个圈。擦到最后一个的时候停了一下。

“我不会告诉你该不该做。我只告诉你，这三种手法在任何一个正经的技术评审里都是隐形的，因为它们本身就是对的。错的是把它们放在同一个季度里。”

“而这是唯一一件我教不了你的事——什么时候动手，是你自己的判断。”

他把笔放进抽屉，关了灯。

走廊的感应灯亮起来又灭掉。凌晨两点十分，交接期第七夜。

[Coleen Mitzi @ColeenMitz44120]

@zstmfhy @cnyzgkc 你这代理价就是正常售价……

[Coleen Mitzi @ColeenMitz44120]

地主家业没有余粮了，开始让韭菜存钱了。