代理节点调度的核心不是“失败就无限换IP”，而是让自有或已授权系统在某个节点发生网络故障时，能够识别错误、限制重试并切到已经通过健康检查的备用节点。
如果第三方返回429、验证码、权限拒绝或明确禁止自动访问，应停止或降速，不能把轮换节点当作绕过限制的办法。下面的结构只适用于企业自有健康端点、授权API和内部网络。
一、调度器至少需要哪些组件
| 组件 | 职责 | 关键边界 |
|---|---|---|
| 节点注册表 | 保存节点标识、代理URL引用和状态 | 密码不写入代码或普通日志 |
| 健康检查 | 测试连接、认证和自有端点 | 限制频率，避免制造额外负载 |
| 选择器 | 从健康节点中选择当前节点 | 不选择处于熔断冷却期的节点 |
| 重试策略 | 处理短暂且可重试的网络错误 | 指数退避、最大次数、总超时 |
| 熔断器 | 连续失败后暂停分配 | 恢复时先少量探测 |
| 指标与日志 | 记录阶段耗时、错误率和切换原因 | 脱敏并设置保存期限 |
二、先定义节点状态而不是只用可用/不可用
建议至少区分：
- healthy：最近健康检查通过，可接收新请求；
- suspect：出现少量失败，等待下一次检查；
- open：连续失败达到阈值，熔断并进入冷却；
- probing：冷却结束后只接受少量探测；
- disabled：过期、人工停用或配置错误，不自动恢复。
把过期凭据误当成网络抖动，会造成无意义重试。认证失败、套餐到期等确定性错误应直接停止节点。
三、一个不含凭据的Python结构示例
from dataclasses import dataclass
from time import monotonic
import random
@dataclass
class Node:
name: str
proxy_env_key: str
failures: int = 0
state: str = "healthy"
retry_after: float = 0.0
def backoff(attempt: int, cap: float = 30.0) -> float:
base = min(cap, 0.5 * (2 ** attempt))
return base + random.uniform(0, base * 0.2)
def can_probe(node: Node) -> bool:
return node.state in {"healthy", "suspect"} or (
node.state == "open" and monotonic() >= node.retry_after
)示例只管理状态，代理地址和密码通过环境变量名或密钥管理系统引用，不在源码中出现。生产系统还需要线程安全、配置校验、指标上报和持久化设计。
四、健康检查应该检查什么
- 代理主机是否能够解析；
- TCP连接和代理认证是否成功；
- 通过代理访问自有轻量健康端点是否成功；
- 出口IP是否与节点登记信息一致；
- 总耗时与各阶段耗时是否在阈值内。
不要用高频访问公共查询网站作为生产心跳。出口IP可以低频核验，日常检查使用自己控制的端点，并明确返回小体积、无用户数据的响应。
五、哪些错误可以重试
连接重置、短暂超时和部分服务端错误可能适合有限重试；认证失败、参数错误、权限拒绝和大多数客户端错误通常不应自动重试。写操作还必须有幂等键或去重机制，避免第一次已经成功、响应丢失后重复提交。
错误阶段的识别可参考代理连接、读取和TLS超时区别。
六、熔断和恢复怎么配合
可以按“连续失败次数”或“滚动时间窗口错误率”触发熔断。进入open状态后，暂停把新请求分给该节点；冷却期结束进入probing，只允许少量健康请求。探测连续成功后恢复，失败则延长冷却。
切换节点时必须新建客户端会话或连接池，否则旧TCP连接可能继续使用旧出口。原理见代理连接池复用旧IP问题。
七、选择策略不要只做随机轮换
在授权业务中，可按健康状态、地区要求、近期延迟和当前连接数选择节点。简单随机容易把流量继续送到刚出现异常的节点，也无法满足固定出口要求。
对于IP白名单接口，切换前必须确认备用出口已获授权；否则“技术上切换成功”，业务仍会被拒绝。固定出口变更还要保留审批和撤销记录。
八、日志和指标最少记录哪些字段
- 脱敏请求ID、节点ID和业务类型；
- DNS、连接、TLS、首字节和总耗时；
- 状态码、异常类别和是否可重试；
- 重试次数、退避时间和熔断状态；
- 切换前后节点与连接池是否重建；
- 配置版本和人工启停记录。
不得记录代理密码、Authorization头、Cookie或完整个人数据。日志保留周期应结合排错、审计和隐私要求确定。
九、上线前怎么验证调度器
在测试环境模拟DNS失败、连接超时、认证失败、TLS错误、慢响应和单节点下线，检查系统是否按预期重试、熔断、切换和恢复。还要验证写请求不会重复执行，所有节点失效时系统能明确失败而不是无限循环。
节点稳定性基线可参考在线率与延迟测试，掉线原因与退避原则见代理IP自动恢复指南。
十、必须停止的情况
当目标服务撤销授权、返回明确限流、账号权限不足或服务条款禁止自动访问时，应停止任务并通知负责人。调度系统只解决自己有权处理的网络可用性问题，不能把访问控制包装成“节点故障”。
