Higress网关内存泄漏问题分析与解决方案

问题背景

在Higress网关1.4.1版本中，用户反馈了一个严重的内存泄漏问题：当频繁修改VirtualService资源时，Higress网关的内存使用量会持续上升，最终导致OOM(内存耗尽)而被Kubernetes终止。即使为Pod设置了14GB的内存限制，在正常情况下使用8GB内存的情况下，这个问题仍然会出现。

问题现象

从监控图表可以清晰地看到，当用户对VirtualService进行多次变更时，Higress网关的内存使用量呈现阶梯式增长。每次变更都会导致内存使用量上升一个台阶，而内存不会自动回收，最终导致Pod因内存不足而被OOMKilled。

根本原因分析

经过深入调查，发现这个问题与Envoy代理的核心机制有关，特别是在处理WebSocket连接时的行为：

1. WebSocket连接特性：WebSocket是一种长连接协议，连接建立后会保持很长时间
2. 配置引用保持：在WebSocket连接未断开时，对应的HTTP请求不会结束，这会维持RDS(路由发现服务)配置的shared_ptr引用
3. 频繁配置变更：当频繁变更路由配置(RDS)时，由于旧的配置引用无法及时释放，内存会持续累积

解决方案

Envoy社区已经修复了这个问题，具体修复方式是：

1. 引用释放时机优化：在收到上游(upstream)的header响应后立即释放shared_ptr引用，而不是等待整个连接结束
2. Higress版本升级：Higress 2.0.0及以上版本已经包含了这个修复

验证与效果

升级到Higress 2.0.0版本后：

1. 内存增长问题得到显著改善
2. 虽然频繁变更时内存仍会短暂上升，但系统能够自动回收不再需要的内存
3. 避免了因内存累积导致的OOM问题

最佳实践建议

对于生产环境用户：

1. 建议尽快升级到Higress 2.0.0或更高版本
2. 对于WebSocket应用较多的场景，仍需关注内存使用情况
3. 避免在短时间内进行过于频繁的路由配置变更
4. 合理设置内存限制和请求量，为内存波动预留缓冲空间

总结

Higress网关的内存泄漏问题是一个典型的配置管理与长连接交互引发的问题。通过升级到包含Envoy修复的新版本，用户可以有效解决这一问题。这也提醒我们，在使用服务网格和API网关时，需要特别关注长连接场景下的资源管理问题。