100만 명의 사용자가 1000개의 코드를 잡으려 할 때 초과 판매(oversell)를 어떻게 방지하시겠습니까?

Question

IT Interview Practice · Accepted Answer

재고 카운터를 **하나의 원자적(atomic) 장소**에 두고 원자적으로 감소시키십시오 — 남은 값을 반환하는 Redis `DECR`(또는 Lua 스크립트)를 사용합니다. 결과가 `< 0`이면 그 요청은 실패한 것이며, 데이터베이스는 *결코* 동시성 게이트가 아닙니다. 나머지는 전부 나머지 99만 9천 건의 요청을 저렴하게 흘려보내는(shed) 일입니다. ## 아키텍처 ```text 1M clients ─▶ CDN/edge (waiting room, drop bots) ─▶ LB │ Stateless API pods │ Redis: DECR stock (Lua: check+dec+record) │hit>=0 │miss<0 ▼ ▼ enqueue order ─▶ DB reject "sold out" ``` ## 구성 요소와 흐름 - **대기실(Waiting room) / 입장 제어(admission control)**가 edge에서의 첫 번째 방어선입니다. 100만 개의 연결이 API에 닿게 두지 않고, 큐 페이지(Cloudflare Waiting Room 방식)가 사용자를 통제된 batch로 입장시킵니다. 이는 스파이크를 스트림으로 바꿉니다. - **Redis 원자적 감소(atomic decrement)**가 재고의 단일 진실 공급원(single source of truth)입니다. `DECR stock:sale123`은 원자적이므로 두 요청이 모두 "1개 남음"을 읽을 수 없습니다. **Lua 스크립트**는 이를 한 번의 왕복으로 수행합니다: 남은 수량 확인, 감소, 그리고 한 사용자가 두 번 당첨되지 못하도록 `SADD winners:{sale} {user}` 기록. Lua는 Redis에서 single-threaded로 실행되므로 check-and-set 전체가 하나의 원자적 단계입니다. - **주문 큐 → DB**: 당첨자(결과 `>= 0`)는 큐에 push되고, worker가 비동기적으로 주문을 Postgres에 기록합니다. DB는 100만 건의 동시 write를 절대 보지 않고 — 오직 약 1000건의 당첨 write만 봅니다. - **거부 경로(Reject path)**는 낙첨자에게 즉시 "sold out"을 반환합니다. 빠른 거부는 하나의 기능입니다: 연결을 해제하고 백엔드를 보호합니다. ## 면접 관점 면접관은 당신이 **레이스 컨디션(race condition)**을 정확히 짚기를 바랍니다: `SELECT stock` 후 `UPDATE`를 두 문장으로 나누면 두 요청이 모두 1000을 읽고 둘 다 판매하는 — 전형적인 초과 판매가 발생합니다. "좋은" 답변은 "트랜잭션 / `SELECT ... FOR UPDATE`를 사용한다"이고, "훌륭한" 답변은 row lock이 100만 건의 요청을 하나의 hot row로 직렬화하여 throughput을 붕괴시킨다는 점을 인식하고, 경합을 Redis의 single-threaded 원자적 연산으로 옮긴 뒤 당첨자만 영속화하는 것입니다. 함정은 원자성 없이 애플리케이션 수준 검사(`if (stock > 0)`)를 신뢰하는 것입니다. ## 트레이드오프와 실패 - **Redis vs DB `FOR UPDATE`**: Redis는 하나의 hot key에서 초당 10만 회 이상의 연산을 처리하지만, Postgres row lock은 직렬화되어 플래시 세일에서 녹아버립니다. DB는 내구성 있는 주문 레코드용으로 남겨두십시오. - **가용성 vs 정확성**: 세일 도중 Redis가 실패하면 반드시 **fail closed**(거부)해야 합니다 — 세일을 재개하면 초과 판매 위험이 있습니다. 진짜 남은 수량을 복구할 수 있도록 판매된 수를 영속화하십시오. - **일관성(Consistency)**: 세일 후 Redis 당첨자와 DB 주문을 대조하십시오. DB write가 실패한 당첨자는 자리를 환불하거나 재부여해야 합니다. 사용자별 rate limit와 봇 탐지를 추가하지 않으면 스크립트가 밀리초 만에 재고를 빼갑니다.

아키텍처

구성 요소와 흐름

면접 관점

트레이드오프와 실패

관련 질문