Go net/http ConnState 怎么识别连接泄漏：StateNew、StateActive 与 StateClosed 计数

线上 Go HTTP 服务的连接数一直涨，最容易误判成“连接泄漏”。其实 keep-alive 会让连接停在 StateIdle，慢请求则会让连接长期处于 StateActive；真正值得警惕的是 StateNew 持续增加却看不到对应的 StateClosed 回收。用 http.Server.ConnState 记录状态迁移，能先把这三种情况分开。

ConnState 适合观察连接级生命周期，不是逐请求计数器。排查时同时看 StateNew、StateActive、StateIdle 和 StateClosed 的增减，才能判断是慢、闲，还是没有回收。

先把“连接数上涨”和“连接泄漏”分开

假设监控里看到进程打开的 TCP 连接从 800 涨到 2400，这个数字只说明当前连接更多，不说明对象没有释放。HTTP/1.1 keep-alive 连接处理完请求后会进入 StateIdle，等待下一个请求；流量低谷时它们也可能暂时保留。

真正有价值的是状态快照：新建连接是否还能回到关闭，活跃连接是否长期不降，空闲连接是否超过服务器的预期。把这几个量放在同一时间窗里，排查才不会被单一总数带偏。

ConnState 的五种状态各自说明什么

官方文档还特别提醒，HTTP/2 中 StateActive 表示连接从零个活跃请求变成至少一个活跃请求，直到所有活跃请求结束才离开。因此它只能表达连接总体状态，不能替代请求级指标。

用一个计数器把状态迁移串起来

下面的示例只保留连接级计数。回调里不要做慢 IO，也不要把每次变化写成一行同步日志，否则监控本身可能放大问题。

package main

import (
    "log"
    "net"
    "net/http"
    "sync/atomic"
)

var newCount atomic.Int64
var activeCount atomic.Int64
var idleCount atomic.Int64
var closedCount atomic.Int64

func main() {
    server := &http.Server{
        Addr: ":8080",
        ConnState: func(conn net.Conn, state http.ConnState) {
            switch state {
            case http.StateNew:
                newCount.Add(1)
            case http.StateActive:
                activeCount.Add(1)
            case http.StateIdle:
                idleCount.Add(1)
            case http.StateClosed:
                closedCount.Add(1)
            case http.StateHijacked:
                log.Print("hijacked connection")
            }
        },
    }
    log.Print(server.ListenAndServe())
}

这里把状态处理集中在一个 switch，便于继续接入 Prometheus 或定时快照。计数器是累计值，不能直接拿累计值比较当前连接数，应该按时间窗口计算增量，再结合当前活跃快照。

看到计数异常时按这条路径核对

StateNew 增得快，StateClosed 也在增

这通常是连接建立和关闭都很频繁，可能是客户端没有复用连接、代理 keep-alive 配置不一致，或服务在短连接压力下工作。看单位时间内两个累计计数的增量，再对照访问日志的请求量；两者都高时，不要直接叫“泄漏”。

StateActive 长时间高，StateIdle 很少

优先排查处理函数是否卡在数据库、下游 HTTP 或请求体读取。ConnState 只能告诉你连接还在处理，具体哪个请求慢要用请求耗时、trace 或 handler 级指标定位。

StateIdle 很高，StateClosed 很少

先检查是否只是正常 keep-alive。再核对 ReadTimeout、IdleTimeout 和反向代理的空闲超时是否一致。不要为了让数字好看就立即关闭所有空闲连接，这可能把连接复用优势变成额外握手。

StateHijacked 出现后没有 StateClosed

这是文档规定的终态行为，不是计数器坏了。被劫持连接不会再转到 StateClosed，需要由劫持后的协议或业务代码负责生命周期观测。

验证时别把 ConnState 当成请求指标

HTTP/1.1 下，一个连接可以在 StateActive 与 StateIdle 间多次切换；HTTP/2 下，一个连接还可以同时承载多个请求。要回答“哪条请求慢”，应在 handler 或中间件中记录请求开始、结束、状态码和下游耗时；要回答“连接有没有回收”，才使用 ConnState。

最终核对可以保留四项：新建增量、关闭增量、当前活跃快照、当前空闲快照。若新建与关闭长期失衡，再把异常时间窗和请求 trace 对齐，通常比盯着一个连接总数更快。

相关问题

StateIdle 越多是不是连接泄漏？

不是。它首先说明连接处理完请求后处于 keep-alive 等待状态，需要结合 IdleTimeout、代理配置和流量变化判断。

ConnState 能统计每个 HTTP/2 请求吗？

不能。HTTP/2 的 StateActive 是连接级状态，逐请求统计应放在 handler、中间件或 trace 层。

为什么 StateHijacked 没有 StateClosed？

被劫持连接的 StateHijacked 是终态，官方状态定义明确说明它不会再转为 StateClosed。

只看 StateClosed 能判断连接都释放了吗？

不能。StateClosed 是累计事件，应该与同一窗口的 StateNew 增量、StateIdle 和 StateActive 快照一起看。

小结

http.Server.ConnState 的价值在于把连接生命周期摊开：StateNew 看进入，StateActive 看承载，StateIdle 看等待，StateClosed 看回收，StateHijacked 则提醒你存在另一条终态路径。按这个边界解释数据，才能把慢请求、正常长连接和真正的连接泄漏分开。