🎤 高频真题

1. 线上大量 TIME_WAIT 怎么办？

来源：主动关闭连接的一方进入 TIME_WAIT。常见于服务端主动关闭 + 短连接高并发（如连接池满时服务端 close、代理转发场景）。

排查：netstat -ant | grep TIME_WAIT | wc -l；ss -s 看汇总。

解决（按推荐顺序）：

1. 根本：长连接复用（HTTP keep-alive/连接池），减少建连-断连频率
2. 调整内核参数（谨慎，有副作用）：
   • net.ipv4.tcp_tw_reuse = 1（仅对客户端出站连接有效，复用 TIME_WAIT 连接）
   • net.ipv4.tcp_timestamps 开启（tw_reuse 依赖）
   • tcp_max_tw_buckets：超出则销毁新 TIME_WAIT（缓解，不是根治）
3. 应用侧：服务端尽量不主动 close（让客户端关）

CLOSE_WAIT 堆积：则是代码 bug——收到 FIN 后应用没调 close（连接未释放），排查：jstack 看哪个线程持有未关闭的连接/IO 流。

2. 什么是 TCP 粘包/拆包？怎么解决？

原因：TCP 是字节流协议，没有消息边界。多个消息可能被合并发送（粘包），一个消息也可能被拆成多次发送（拆包）。应用层需要自己定义边界。

解决（三种主流）：

1. 固定长度：每个消息定长，不足补位。简单但浪费
2. 分隔符：消息末尾加特殊字符（\n、\r\n）。注意内容中不能出现分隔符
3. 长度前缀（最常用）：消息头 4 字节记录长度 + 消息体。Netty 的 LengthFieldBasedFrameDecoder 就是干这个的

// 协议：| 4字节总长度 | 消息体 |
// 发送方：
ByteBuf buf = new ByteBuf(...);
buf.writeInt(msg.length);      // 长度头
buf.writeBytes(msg.getBytes());

// 接收方：
// 先读 4 字节长度 → 读满 length 字节才算一个完整消息
// Netty：pipeline.addLast(new LengthFieldBasedFrameDecoder(1024, 0, 4, 0, 4))

3. HTTPS 能防中间人攻击吗？证书的作用？

• 能防标准中间人：中间人无法伪造证书（没有私钥+没有 CA 信任）
• 证书的作用：把"公钥"与"域名/主体"绑定，由 CA 签名背书——解决"如何安全拿到对方公钥"（公钥分发难题）
• 中间人如何仍可能成功：用户信任了伪造的根证书（企业内网代理、钓鱼安装）、证书域名不匹配但用户点了"继续"、受信任的 CA 被攻破（极少）
• 验证点：证书链完整、域名匹配（CN/SAN）、未过期、未吊销（OCSP）

4. 一台服务器最多能建立多少 TCP 连接？

• 客户端限制：四元组（源 IP:源端口, 目标 IP:目标端口），Linux 默认临时端口范围 net.ipv4.ip_local_port_range = 32768 60999 → 单 IP 对单目标约 2.8 万（6.5 万是 16 bit 端口号的理论上限）；多客户端 IP 则无限放大（NAT/多网卡）
• 服务端限制：理论上远大于此（fd 数、内存决定）——每个连接占内核内存（socket 缓冲 + TCP 控制块，约几 KB）
• 实际瓶颈：ulimit -n（文件描述符上限，默认 1024！生产要调大）、内存、CPU