在 Ubuntu 上预防 RabbitMQ 消息丢失的实用方案
一 生产端确保投递可靠
- 开启发布确认 Publisher Confirms：在发送端开启 confirm 模式，监听 ack/nack 回调，未收到 ack 的消息进行可靠重发；相比事务，confirm 为异步、性能更好。若消息无法路由到队列，可结合 mandatory 与 returnedMessage 回调做退回或补偿处理。一般不建议使用事务（同步阻塞、吞吐低）。示例要点：channel.confirmSelect()、correlationData、ConfirmCallback/ReturnCallback。
- 路由保障：为 mandatory=true 的消息设置 ReturnListener，处理“无法路由到队列”的场景，避免静默丢弃。
- 连接与重试：网络抖动或 broker 重启会导致 channel 关闭，需具备重连与重发能力（如检测到 channel 关闭后重建连接与 confirm 监听）。
二 Broker 端持久化与高可用
- 队列与消息双持久化：声明队列时设置 durable=true，发送消息时设置 deliveryMode=2（PERSISTENT），否则 broker 重启后消息会丢失。注意：仅队列 durable 不会持久化队列中的消息体。
- 将持久化与 confirms 配合：只有消息被写入磁盘后 broker 才回 ack，生产者未收到 ack 则重发，可显著降低“已入内存但未落盘即宕机”的少量丢失风险。
- 高可用与容灾：对关键队列启用镜像队列（HA），例如将所有以 rock.wechat 开头的队列镜像到所有节点：rabbitmqctl set_policy ha-all “^rock.wechat” ‘{“ha-mode”:“all”,“ha-sync-mode”:“automatic”}’；也可按需配置 exactly N 个同步副本。镜像队列可在节点故障时从其他节点继续提供服务，降低数据不可用窗口。
三 消费端正确处理与容错
- 关闭自动 ack，改为手动 ack：处理完成后再调用 basicAck(deliveryTag, false)，未 ack 的消息不会从队列删除，连接断开会重新入队分配给其他消费者。
- 处理失败策略：业务异常时可 basicNack/basicReject，结合 requeue 控制是否重回队列；为避免无限重入，建议配合重试与上限、幂等处理或转入死信队列（DLQ）。
- 并发与吞吐控制：设置 prefetch_count=1（一次只处理一条），在手动 ack 场景下能减少消息堆积与重复处理风险。
- 重试与死信：为“处理多次仍失败”的消息转入 DLQ，后续离线分析或补偿；Spring Boot 可将 listener.acknowledge-mode 设为 manual 并在异常分支执行 nack/requeue 或发送到 DLX。
四 Ubuntu 运维与验证要点
- 数据与日志持久化（裸机/包安装）：确保 /var/lib/rabbitmq（Mnesia 数据）与 /var/log/rabbitmq 所在磁盘可靠，避免系统重启或磁盘满导致数据不可用；按需配置磁盘/内存水位与告警。
- Docker 部署要点：挂载数据卷到 /var/lib/rabbitmq，设置环境变量如 RABBITMQ_VM_MEMORY_HIGH_WATERMARK=0.6、RABBITMQ_DISK_FREE_LIMIT=2GB，保障落盘与内存压力受控；必要时定期备份数据目录。
- 管理与监控：启用管理插件（默认端口 15672）与 Prometheus 插件（rabbitmq_prometheus），监控队列长度、未确认消息数、节点磁盘/内存、连接数等关键指标；配置日志轮转，便于问题排查。
- 快速自检流程：
- 创建 durable 队列，发送 deliveryMode=2 的消息；
- 重启 broker（systemctl restart rabbitmq-server 或容器内重启）；
- 观察队列与消息是否恢复；
- 在管理界面/CLI 查看 confirm、未 ack、消费者状态与告警。
以上步骤可验证持久化与确认机制是否生效。