119 lines
7.4 KiB
Markdown
119 lines
7.4 KiB
Markdown
# 前端会话切换与 WebSocket 状态机调查
|
||
|
||
调查时间：2026-10-14（Asia/Shanghai）
|
||
|
||
## 结论
|
||
|
||
会话是否“运行中”不决定切换请求是否能够被接收。前端切换完全依赖当前
|
||
WebSocket：点击会话后构造 `load_session` 请求，只有该请求收到带匹配
|
||
`requestId` 的 `session_info`/历史尾块，才会结束加载状态。因而“刷新后当前
|
||
会话立刻正常”与旧 WebSocket 处于半开、浏览器仍报告 `OPEN` 的时序高度吻合。
|
||
|
||
本轮没有找到 `shared/session-switch-controller.js`；仓库内不存在该文件，切换
|
||
状态机实际集中在 `public/app.js`。
|
||
|
||
## 可核对的前端调用链
|
||
|
||
1. `openSession`（`public/app.js:7628-7672`）根据缓存命中情况进入
|
||
`beginSessionSwitch`。未命中或弱缓存会执行阻塞加载；运行中只影响快照/恢复
|
||
行为，不会绕过 WebSocket。
|
||
2. `beginSessionSwitch`（`:7508-7528`）先调用 `setSessionLoading` 创建
|
||
`activeSessionLoad={sessionId,requestId,...}`，再调用 `requestSessionLoad`。
|
||
3. `requestSessionLoad`（`:7530-7547`）把同一代次写入
|
||
`pendingSessionSwitchRequest`。当 `ws.readyState===1 && wsAuthenticated` 时立即
|
||
调用 `flushPendingSessionSwitch`；否则等待 `onopen`/`auth_result`。
|
||
4. `flushPendingSessionSwitch`（`:7582-7603`）先检查 `OPEN`，随后**先将
|
||
`pendingSessionSwitchRequest` 置空**（`:7585-7587`），再直接执行裸
|
||
`ws.send`（`:7596-7601`）。没有发送异常处理，也没有在发送后复核 socket 仍是
|
||
当前 socket。这是可直接证明的丢请求窗口：假 `OPEN` 或发送时 socket 已关闭时，
|
||
请求可能既未送达也未回队列，而 `activeSessionLoad` 仍等待其 45 秒定时器。
|
||
5. 服务端消息处理（`:8442-8512`）只接受匹配活动加载的 `sessionId` 与
|
||
`requestId`；晚到的旧响应会被丢弃。正常 `session_info` 后，若历史分片存在，
|
||
要等 `session_history_chunk` 最后一块（`:8597-8646`）才调用
|
||
`finalizeLoadedSession`，最终关闭加载状态。
|
||
|
||
## 触发“45 秒后超时”的可复现时序
|
||
|
||
### 时序 A：半开/假 OPEN（最符合“刷新后正常”）
|
||
|
||
```text
|
||
t0 旧 socket 在浏览器对象中仍为 OPEN，但服务端/代理已不再处理它
|
||
t1 用户点击运行中会话 B；activeSessionLoad=B，pending=B
|
||
t1 flush 通过 readyState 检查，清空 pending，向旧 socket send load_session
|
||
t1..t1+? 服务端没有 session_info；浏览器也没有触发 onclose
|
||
t1+12s 只释放遮罩，activeSessionLoad 仍在等待
|
||
t1+45s scheduleSessionLoadRequestTimeout 清空 active load 并提示“加载超时”
|
||
t1+45s 用户刷新，旧 socket 被销毁，新 socket 认证后重新发请求，B 立即显示
|
||
```
|
||
|
||
客户端应用心跳在认证成功后才开启（`:8345-8355`），间隔 15 秒、等待 ack 10
|
||
秒（`:8151-8176`）。假连接在下一次检测前仍可保持 `OPEN`；移动端后台节流还
|
||
可能推迟心跳计时器。只有 `onclose` 触发，才会在 `:8243-8264` 将活动请求放回
|
||
`pendingSessionSwitchRequest` 并安排重连。也就是说，heartbeat 不是切换协议，
|
||
只是延迟发现坏连接；在发现之前的窗口内，`load_session` 可以被写入黑洞。
|
||
|
||
### 时序 B：发送调用本身抛错
|
||
|
||
`flushPendingSessionSwitch` 在置空 pending 后调用裸 `ws.send`。若浏览器在检查
|
||
`readyState` 与 `send` 之间将 socket 转为 closing/closed，`send` 会同步抛出；
|
||
该异常从点击事件或 `auth_result` 处理路径冒出。`onmessage` 的总捕获
|
||
（`:8195-8206`）只记录异常并释放遮罩，**不会关闭 socket、重排队或清除活动
|
||
定时器**。结果仍是活动加载挂到 45 秒后才提示超时。
|
||
|
||
同类问题也存在于 `flushPendingSessionResume`（`:7605-7611`）的裸 `ws.send`，
|
||
但它主要影响运行中会话重连，不是普通切换的首要路径。
|
||
|
||
### 时序 C：已有关闭事件时的正确恢复路径（用于对照）
|
||
|
||
若 socket 先触发 `onclose`，代码会把活动加载复制回 pending（`:8243-8251`），
|
||
调用 `clearSessionLoading`，然后 `scheduleReconnect`。新连接认证成功后
|
||
`auth_result` 再调用 `flushPendingSessionSwitch`（`:8362-8373`）。这条路径本身
|
||
保留 `requestId`，可恢复快速切换的代次隔离；因此仅凭“切换失败”不能推断服务
|
||
端会话未运行，必须区分“已 close 并重试”和“仍 OPEN 未重试”。
|
||
|
||
## 现有代次隔离与缺口
|
||
|
||
- `activeSessionLoad`、`pendingSessionSwitchRequest` 和消息中的 `requestId` 已
|
||
防止 A 的晚到响应覆盖 B（`:8459-8477`、`:7472-7506`）。
|
||
- `session_history_chunk` 对活动请求同样检查 `requestId`（`:8514-8521`）。
|
||
- 45 秒计时器只做取消：`scheduleSessionLoadRequestTimeout`（`:7218-7232`）
|
||
清空 pending、清除加载并显示提示，没有执行一次强制断开/重连，也没有再次发送
|
||
同代次请求。因此它是用户可见兜底，不是恢复机制。
|
||
- `onmessage` 异常路径仅释放遮罩（`:8200-8206`）；若渲染/快照处理抛错，活动
|
||
请求和计时器仍在，且连接继续被视为可用。
|
||
- 现有 `scripts/regression.js` 的 `assertSessionSwitchResilienceContract`
|
||
（`:3768-3926`）主要是源码字符串契约，虽然断言存在 heartbeat、超时和 close
|
||
重试代码，但没有模拟 `OPEN` 黑洞、`ws.send` 抛错、onmessage 异常或 45 秒
|
||
内的请求回队列。因此它无法覆盖本故障的关键时序。
|
||
|
||
## 最小修复建议（供主任务实现）
|
||
|
||
1. 将 `flushPendingSessionSwitch` 的 pending 清空动作移到成功 `send` 之后，
|
||
对 `send` 使用 `try/catch`。失败时保留原对象和 `requestId`，只关闭当前 socket
|
||
并调用既有重连逻辑；不要生成新代次，避免同一切换重复响应污染。
|
||
2. 发送前确认 `ws === socket`、`readyState===OPEN`、已认证；发送后若状态已变为
|
||
closing/closed，立即走与 `onclose` 相同的回队列路径。可抽取一个不重复覆盖新
|
||
请求的 `requeueActiveSessionLoad` 辅助函数。
|
||
3. 在 45 秒超时回调中，若请求仍是同一代次，先做一次受控的 socket 失效与重连
|
||
尝试；只有重试已发生且仍无响应才给用户“已取消”提示。重试必须保留
|
||
`requestId`/最新会话选择，不能让旧 A 响应关闭新 B。
|
||
4. `onmessage` 捕获到处理异常时应记录脱敏的消息类型、活动会话和 requestId，
|
||
清理/回队列并关闭该 socket；不能只释放遮罩后继续挂起。
|
||
|
||
## 隔离验证建议
|
||
|
||
在不接触真实会话的浏览器/Node 夹具中验证以下四种情况，单项超时上限 60 秒：
|
||
|
||
1. `FakeWebSocket.readyState=OPEN` 但 `send` 不触发服务端：点击 B 后应在心跳
|
||
检测/受控重连后自动完成，不应等到 45 秒才失败。
|
||
2. `send` 同步抛出 `InvalidStateError`：pending 必须仍保留，socket 被关闭并在
|
||
新认证后只发送一次 B；活动加载计时器应绑定同一 requestId。
|
||
3. 发送 A 后快速点击 B，先注入 A 的 `session_info`/历史尾块，再注入 B；A 不得
|
||
改变当前会话、关闭 B 的加载或清除 B 的计时器。
|
||
4. 让 `handleServerMessage` 对一条 `session_info` 抛异常：应记录并重连/重试，
|
||
不应只释放遮罩后 45 秒静默超时。
|
||
|
||
验收时同时记录 `load_session` 发送时间、socket 代号、requestId、首次响应时间
|
||
和重连次数（不记录消息正文），即可区分假 OPEN、服务端处理慢和前端渲染异常。
|
||
|