失败安全的事件队列：持久接收、有界重试、幂等效果

1. 01

   丢失：已向其生产者确认的事件必须经受住重启和死亡的通道。接收是在确认之前完成的持久写入。

2. 02

   重复：网络会重复。投递是至少一次，因此接收端对一个事件标识只应用一次，并丢弃重复，无论是谁再次发送。

3. 03

   无界：任何事件都不得无休止地重试或无休止地滞留。尝试次数、存留时长以及每个上限处的结果（送入死信、保留、绝不丢弃）都作为策略写明。

1. 01

   调用方提供时钟、持久存储与通道，因此同一份代码既可以在确定性仿真中运行，也可以在浏览器中运行，并且在配上真实的存储与通道后，在项目中运行。

2. 02

   状态：待处理、重试、搁置、已投递、已死亡。失败的发送按指数退避重试。在连续失败并且健康探测失败之后，熔断器打开：事件被搁置在存储中，由一个廉价的探测不断检查通道，直到它恢复，然后按顺序清空积压。

3. 03

   毒性事件隔离：在健康通道上失败的事件是坏事件，而不是死亡的通道。它在自己的预算内重试，随后送入死信，熔断器保持关闭；因此一个坏事件拖住其后队列的时间不会超过该预算。

1. 01

   场景包括：通道中断二十秒、通道时断时续、30% 的发送丢失确认、一个毒性事件、一个顽固事件、故障期间的重启、重复发送的生产者，以及所有情况同时发生。每个场景都使用虚拟时钟和带种子的生成器：没有定时器，没有网络。

2. 02

   在每个场景中，契约测试都断言：已接收的事件没有丢失，没有被应用两次，接收顺序得以保持，且没有任何事件的发送次数超过策略允许的上限。

3. 03

   文档中的结果表由代码生成，并由测试与代码比对，因此证据就是代码今天所做的事。

各层级的适用范围：本队列属于证据层级 B（由测试验证的参考实现）。本站在生产环境中运行的、带幂等投递的签名 webhook 属于层级 A。