工程上最危险的不是完全不可用，而是在理想环境里正常、进入真实网络和真实数据量后悄悄失去边界。 只设整机带宽上限会让先到的大流占满队列。层级整形先限制用户总量，再在其 allocation 间公平调度，并保留短突发改善交互。
TURN 是有成本的共享中继，不只是一个 ICE URL。节点需要短期授权、allocation 并发、字节核算、区域容量和滥用处置，同时保留 UDP、TCP 与 TLS 穿透能力。
工程边界与取舍
实现之前先列出不可违反的不变量，再为性能与体验留出调节参数。参数可以灰度，身份、权限和终态规则不能在运行时随意漂移。
- 按用户配置 sustained rate 和 burst bytes，节点总出口接近阈值时按权重降级；控制包不与 bulk 共用长 FIFO。
- 所有输入都设置大小、次数和时间预算，并在超限时返回可操作的稳定错误码。
- 重试必须带幂等键、退避和截止时间；超过截止时间后建立新任务，而不是继续复活旧回调。
“TURN 带宽整形：限制白嫖时也要避免大象流饿死小流”的交付标准是正常路径可用、异常路径收敛、资源有界，并且用户能理解系统为何采用当前状态。 这样得到的不是演示代码，而是能解释、能降级、能回滚的生产能力。
生产环境会怎样出错
不要把异常路径理解成弹一次提示。它还包括在途工作如何停、对端如何获知、残留数据如何处置，以及下一次操作是否会继承旧状态。
- 固定每 allocation 相同速率让攻击者开更多 allocation 获得倍增带宽；过小 burst 会把正常 WebRTC 突发误伤成卡顿。
- 失败被压成一个布尔值，调用方无法区分可重试、需用户介入与永久拒绝，最终形成无限循环。
- 没有背压或配额时，慢消费者会把内存、队列长度与尾延迟一起推高，最后拖累无关用户。
把测试跑成闭环
验证时同时观察两端状态、持久化记录和可观测指标。单看某个按钮或一次接口响应，无法证明整个闭环成立。
- 同时运行一个大文件、十个小文件和屏幕共享，再让同一用户增加 allocation，测量公平指数、控制 p95 和总出口。
- 在操作中途断网、切换网络并恢复，核对两端状态、持久化记录和资源计数最终一致。
- 分别覆盖直连、中转、弱网、后台标签页和移动端，报告不能只给平均值或一次成功截图。
当实现能够安全降级、重复执行不产生额外副作用、故障指标早于投诉出现时，这项能力才算具备长期维护价值。