systemd 服务频繁重启时怎么设置启动限流

systemd 服务频繁重启时，真正控制“一个时间窗口最多允许启动几次”的是 StartLimitIntervalSec= 和 StartLimitBurst=，它们写在 unit 文件的 [Unit] 区段；RestartSec= 只负责两次重启之间等待多久。一个可作为起点的配置是：10 分钟内最多尝试 5 次，失败后每 20 秒再尝试一次。这样既不会让进程快速重启打满日志，也不会把根因误藏在无限重试里。

先把“等待时间”和“次数上限”分开

服务退出后，Restart=on-failure 决定是否再次拉起，RestartSec=20s 决定下一次尝试前等待 20 秒；它们并不限制总次数。限制窗口要看下面两个键：StartLimitIntervalSec=10min 表示统计窗口，StartLimitBurst=5 表示窗口内允许的启动次数。systemd 官方手册说明，默认值由管理器的 DefaultStartLimitIntervalSec= 和 DefaultStartLimitBurst= 提供，常见默认值是 10 秒和 5 次。

这两个键必须放在 [Unit]，不要只写到 [Service]。旧资料里常见的 StartLimitInterval= 是兼容旧版本时才需要核对的写法；新配置优先使用带 Sec 后缀的名称。

在 [Unit] 中设置一个可解释的限流窗口

假设服务名为 worker-sync.service，它因依赖连接失败而退出。可以创建 drop-in，而不是直接改发行版提供的原始 unit：

[Unit]
# 10 分钟内最多允许 5 次启动，防止崩溃循环持续打满资源
StartLimitIntervalSec=10min
StartLimitBurst=5

[Service]
# 只有异常退出才自动重启；正常退出不重新拉起
Restart=on-failure
# 限流前每次重启先等待 20 秒，给依赖服务恢复时间
RestartSec=20s

使用 systemctl edit worker-sync.service 保存后，先让 systemd 重新读取 unit，再查看解析结果：

# 重新读取 unit 文件，不会自动重启正在运行的服务
sudo systemctl daemon-reload

# 查看 systemd 当前采用的关键值，避免只看编辑器里的内容
systemctl show worker-sync.service \
  -p Restart -p RestartUSec \
  -p StartLimitIntervalUSec -p StartLimitBurst

# 查看最近一次失败的退出原因与限流提示
sudo systemctl status worker-sync.service --no-pager
sudo journalctl -u worker-sync.service -n 80 --no-pager

systemctl show 中的微秒字段比肉眼猜测更可靠。如果改的是全局 unit 文件，还要确认没有同名 drop-in 覆盖它；systemctl cat worker-sync.service 可以把主文件和 drop-in 一起列出来。

限流命中后怎么恢复，如何判断是不是配置生效

当日志出现类似“Start request repeated too quickly”时，说明 systemd 拒绝了新的启动请求，不能仅靠继续执行 restart 解决。先读取退出码和最近一段日志，确认是应用立即崩溃、依赖未就绪，还是参数错误：

reset-failed 会清理失败状态和启动限流计数，适合管理员修复问题后重新验证。它不是“取消限流”的永久开关；重新启动仍会按当前窗口累计。若应用每次都在同一个初始化点退出，应该修复应用、权限、路径或依赖，而不是把 StartLimitIntervalSec=0 当成默认答案。

三个容易误判的边界

启动限流作用于 unit 的启动请求，不等同于应用内部的退避算法，也不替代健康检查。对于需要持续运行的服务，建议把窗口和业务恢复时间放在一起设计：外部依赖可能在 30 秒内恢复，就把 RestartSec 设为几十秒；若故障可能持续数分钟，再用更长的 StartLimitIntervalSec 限制总尝试次数。

常见问题

StartLimitBurst 是限制重启次数还是所有启动次数？

它限制 unit 在统计窗口内被启动的次数，自动重启只是其中一种来源，手动启动、定时器或 socket 触发也可能参与统计。

修改 unit 后为什么还是旧值？

通常是忘了执行 systemctl daemon-reload，或被 drop-in 覆盖。用 systemctl cat 和 systemctl show 分别检查来源与最终值。

能不能把 StartLimitIntervalSec 设为 0？

可以表示不做启动速率限制，但这会放大崩溃循环的资源和日志风险。只有明确需要持续尝试且已有外部保护时才考虑这样做。