Go sync.Once 初始化失败后的重试设计

sync.Once 解决的是“只执行一次”，不是“失败后再试”。Go 官方文档明确规定：Do 中的函数只会被第一次调用，函数正常返回或 panic 后，后续调用都不会再次执行。因此配置读取、远程连接或密钥加载这类可能暂时失败的初始化，不应通过重置 Once 来补救，而应把状态、等待和重试策略显式写出来。

先确认 Once 的边界

典型写法如下。它适合注册表、不可变配置或一次构造即可长期复用的对象：

var once sync.Once
var cfg *Config

func ConfigInstance() *Config {
	// Do 返回后，所有调用方都能看到同一次初始化结果。
	once.Do(func() {
		cfg = loadConfig()
	})
	return cfg
}

如果 loadConfig 因网络抖动返回错误，不能在下一次调用中再次进入函数；如果它 panic，官方语义同样把这次调用视为已经结束。直接把 sync.Once 字段替换成新值也不是安全的“重置按钮：旧调用方、读写同步和已发布的结果都可能失去清晰边界。

稳定结果用 Once，可恢复失败换状态机

sync.OnceValues 能把值和错误一起缓存，适合“第一次失败就代表配置不可用”的场景；它不会替你安排下一次尝试。判断标准很简单：如果错误需要等待外部条件恢复，就不能把失败当成最终状态；如果错误意味着发布配置本身无效，缓存失败反而能避免请求洪峰反复打击依赖。

可重试初始化至少需要三个状态：idle 表示可以尝试，loading 表示已有 goroutine 在加载，ready 表示结果已固定。每次加载配一个等待通道；加载者完成后关闭通道，等待者被唤醒后重新读取状态。

用 RetryLoader 实现并发等待与失败退避

package loader

import (
	"context"
	"sync"
	"time"
)

type state uint8

const (
	idle state = iota
	loading
	ready
)

type RetryLoader[T any] struct {
	mu      sync.Mutex
	state   state
	value   T
	retryAt time.Time
	wait    chan struct{}
	delay   time.Duration
	load    func(context.Context) (T, error)
}

func (l *RetryLoader[T]) Get(ctx context.Context) (T, error) {
	for {
		l.mu.Lock()
		switch l.state {
		case ready:
			v := l.value
			l.mu.Unlock()
			return v, nil
		case loading:
			wait := l.wait
			l.mu.Unlock()
			select {
			case  0 {
				l.mu.Unlock()
				timer := time.NewTimer(d)
				select {
				case 

这段实现的关键不是“把 Once 改成 Mutex”，而是把每个边界说清楚：只有拿到 idle 的调用者执行 load；loading 的调用者等待同一个通道；成功后只写入一次值；失败则记录下一次允许尝试的时间。生产代码还应限制最大重试次数、记录失败原因，并让 delay 采用带抖动的退避，避免多个实例同时恢复时形成尖峰。

三个容易踩到的并发细节

不要在持有锁时执行真正的网络或磁盘初始化，否则慢依赖会阻塞所有读者。也不要只保存一个共享 error 就让等待者直接返回：一次失败之后，后来的调用可能已经进入了下一次尝试，等待者应重新观察状态，而不是误用旧错误。

按场景选择实现方式

常见问题

把 Once 设为零值能不能重试？

不建议。重置会破坏一次性对象的生命周期语义；需要重试时直接使用有明确状态和所有权的加载器。

初始化函数 panic 后能否自动再跑？

不能。sync.Once 将 panic 视为已返回，后续 Do 不会再次调用该函数。

为什么还要保留 loading 状态？

它把并发调用合并为一次实际加载，让其他 goroutine 等待同一结果，而不是同时向依赖发起重复请求。