今年国庆，九寨沟、稻城亚丁、峨眉山、老君山、龙门石窟、三清山、五台山等景区陆续限流。作为长期做票务系统的人，我想从工程角度聊聊：一套系统要扛住大客流，真正要算清的是什么。结论先放这里：限流阈值、通道吞吐、候补容量，是三本彼此独立的账。 承载量决定"放多少"，通道吞吐决定"进得快不快"，候补容量决定"退订之后怎么补"。一、限流阈值由承载量决定，不是由通道吞吐决定九寨沟旺季最大承载量 4.1 万人次/天，32 个门禁通道每小时通过 1.9 万人次。两者差一个量级，因为承载量取的是四项最小值：**空间承载**：步道、观景台、索道、观光车站的物理容量；**生态承载**：水体、植被、文物对客流扰动的耐受上限；**体验承载**：排队、候车时间能否被接受；**应急承载**：疏散动线能否支撑。用通道吞吐倒推票量，一天能放进几十万人，安全红线必然失守。正确顺序是：先按承载量定票池上限，再用吞吐验证能否顺畅送进去，最后用真实数据校准。**限流阈值由承载量决定，不是由通道吞吐决定。**二、核销链路决定峰值能否兑现每人不到 6 秒完成识别、校验、开闸——这要求：1. 核销不强依赖实时联网：票证本地留存、闸机侧闭环，网络只做事后同步；2. 通道按票种规则分流：避免一次人工核验拖慢整条队；3. 动线提前设计：入口吞吐再高，内部运力不足，压力只会转移。三、候补容量的难点在并发安全，不在排队票卖完后，退订和爽约释放的票需要重新分配。常见做法是候补登记 + 退票回流库存池、定时集中释放。| 维度 | 无候补机制 | 有候补 + 定时释放 ||------|-----------|-----------------|| 退订票 | 可能浪费 | 按规则回流再分配 || 游客体验 | 全天反复刷新 | 有明确顺序与放票时间 || 系统压力 | 全天高并发 | 流量集中，便于扩容 |技术上的关键风险是：退订票若"先减库存、再通知候补、候补再下单"，中间任一步失败，就会出现"有票下不了单"或"一票两卖"。解法是把扣减库存与生成订单放进同一事务，并用有序队列 + 幂等标识保证一张退订票只分配给一个候补用户。**候补的技术难点不是排队，而是库存池的并发安全。**四、降级销售：停线上、保现场当入园人数达到暂停阈值、但游客仍在陆续到达时，可采用降级销售：停止线上售票，保留窗口、扫码购、自助机按现场容量销售当日票，并按现场人数动态调控。它的意义是把"安全责任"与"销售冲动"解耦——线上可停，现场仍可控放量。五、断网续售是隐性门槛山区景区旺季网络抖动几乎必然。大客流系统应有离线能力：票证本地化、断网照常核销、库存本地预扣、恢复后对账与超卖补偿（并在合同与验收中明确）。六、给需求书和验收的 5 个问题1. 限流阈值怎么来的？是否基于承载量四项最小值 + 真实运行数据？2. 核销链路本地闭环还是实时联网？峰值压测结果如何？3. 候补的库存释放是否原子？会不会出现超售或"有票下不了单"？4. 是否有降级销售？达阈值时能否只停线上、保留现场？5. 断网预案是否明确（离线核销、本地库存、恢复后对账与补偿）？大客流的系统不是"扛"住的，是"算"出来的。*数据来源：九寨沟景区管理局官方发布、2026-10-03 中国新闻网、2026-10-04 央视新闻/21 经济网等公开报道；技术判断基于票务系统设计与落地经验。*
实名预约为什么防不住黄牛？想清楚一件事就明白了：系统只验了"票的实名"，没验"人的实名"。 黄牛卖的不是票，是别人的一张脸。
国庆期间，某免门票景区把预约名额炒到了几百元一次代抢，甚至有黄牛"寄身份证配合预约码"帮人入园。新闻看着热闹，但对做票务系统的人来说，值得琢磨的是：一个已经上了实名预约的系统，为什么还是被钻了空子。
黄牛的三类手法，对应三种漏洞
· **技术代抢**：脚本或外挂在放票瞬间批量锁票。平台通常只按"账号"限购，不校验"设备 + 行为"是否异常。
· **身份借用、证件代持**：借用或收买他人身份信息完成实名预约，核验时只验"票证一致"，不验"人证一致"。
· **内部渠道、内部票**：以"内部票"名义加价转卖，靠的是渠道与放票权限不透明。
三类手法对应三种不同的漏洞，用同一招是防不住的。
实名预约的三个漏洞
把预约入园拆成三个时点——购票、核验、退改：
| 环节 | 表面做到了什么 | 实际漏洞 |
|------|--------------|---------|
| 购票实名 | 要求填写身份证号 | 号码可借用、可购买，不校验"人号一致" |
| 入园核验 | 刷身份证 / 扫预约码 | 只验票证一致，不验人证一致 |
| 退改释放 | 支持退票、过期释放 | 退票回池时点被脚本盯守 |
漏掉的不是一张票，是"谁都能替谁进园"的规则缺口。
七层防线
1. 票池分时段配额：分段放票，让秒抢失去意义。
2. 实名核验前置：下单即校验，而不是等入园。
3. 设备指纹 + 行为频次风控：识别同设备/IP/支付账户的多账号聚合。
4. 人证合一核验：确认闸机前的人就是购票人。这是底线——没有人证合一，实名预约只是一张写给别人看的纸。
5. 退票释放机制：退票延迟或整点统一释放，纳入配额。
6. 异常订单审计：按"同身份高频、同设备多单、异地秒抢"生成清单，人工介入。
7. 信用与名单机制：分级处置 + 申诉通道。
一个工程上的取舍
七层全拉满会误伤真实游客：人脸核验对老年人、带小孩家庭不友好，设备指纹会误判共用手机的同行人。所以设计上应按风险分级——高风险场景从严，常规场景保持流畅，所有场景保留申诉入口。
风控不是把门焊死，而是让违规的成本高于收益。
小结
防黄牛，防的是规则设计的缺口。实名预约只走到"票是谁的"，还没走到"进园的是不是本人"。把核验验人、放票限速、退票错峰这三处补上，倒票空间就会被大幅压缩。
这是《景区票务实战》系列第 1 篇。下一篇拆《断网了怎么检票：离线核销的 4 种实现与取舍》。
（本文案例取自公开报道并已匿名化，仅作技术方法讨论。）
