Stripe 在 2025 年达到 1590 亿美元估值，其背后支撑的是一套经过十余年演进的支付基础设施架构。这一架构的核心并非单纯的技术堆砌，而是对金融级一致性、全球化覆盖与极致可用性的系统性工程实践。
分布式事务一致性模型
与传统互联网系统追求最终一致性不同，支付系统对资金状态的准确性有着近乎苛刻的要求。Stripe 采用内部强一致性、外部最终一致性的分层模型来应对这一挑战。
在核心账本层面，Stripe 使用双记账（double-entry ledger）机制，每一笔资金流动都被建模为一对原子化的借方和贷方条目。这种设计从根本上保证了所有账户余额的数学 invariants，任何时刻的总借方等于总贷方。账本内部采用分片（sharding）策略，按商户或账户维度将数据分散到不同的数据库分区，在分片内部实现强一致性读写，而跨分片的全局一致性则通过精心的路由设计而非分布式事务来实现。
对于外部系统交互 —— 包括卡组织、银行清算网络、各类本地支付方式 ——Stripe 明确放弃了传统的两阶段提交（2PC）模式。原因在于外部合作方各自拥有不同的可用性特征和一致性保证，跨系统的 ACID 事务在实践中几乎不可能实现。Stripe 转而采用 Saga 模式配合补偿机制：内部状态变更先在账本中持久化，再通过可靠且幂等的操作向外部网络传播。如果外部调用失败，系统会触发补偿步骤（如退款或撤销），确保最终一致性。
幂等性设计是整个一致性保障的基石。Stripe 为每个支付请求分配唯一的幂等键（idempotency key），结合 Kafka 的精确一次（exactly-once）语义和消费端的幂等处理器，使得重试和故障恢复不会导致重复扣款或账务错乱。
全球支付网络拓扑
Stripe 的全球支付和 Treasury 网络（GPTN）覆盖超过 185 个国家，支持数百种支付方式和 currencies。这一网络的核心设计原则是将异构的外部系统抽象为统一的 API 入口。
在拓扑层面，Stripe 采用多区域部署架构，在北美、欧洲和亚太设有独立的数据中心区域。流量通过智能路由被引导至最近的健康区域，既降低延迟，又为区域级故障提供自动 failover 能力。每笔支付请求首先到达边缘 POP（Point of Presence），在那里完成 TLS 终止、速率限制和基础验证，将恶意流量和无效请求尽早拦截。
在支付路由层面，Stripe 实现了智能路由系统。系统会综合考量卡种、发卡国家、交易金额、历史成功率以及成本等因素，动态选择最优的收单行和清算路径。例如，一笔德国消费者向美国商户支付的交易，可能会被路由至欧盟本地收单行以提高授权通过率并规避跨境费用。当主路径出现问题时，路由逻辑会自动切换至备选路径，实现级联重试和服务降级。
金融级高可用设计
Stripe 的可用性目标设定在 99.999%（五个九）级别，这意味着每年的累计停机时间不超过 5.26 分钟。这一目标的实现依赖于多层次的冗余和容错设计。
事件驱动的异步架构是可用性设计的核心。Stripe 的支付生命周期被清晰地划分为在线路径和离线路径：授权路径（authorization path）追求低延迟和高可用，要求在毫秒级返回授权结果；后授权路径（post-auth path）则侧重于正确性和持久性，包括结算、清算、 payouts、对账和争议处理。两个路径通过 Kafka 事件总线解耦，在线路径的峰值压力不会直接传导至需要强一致性的账本系统。
Kafka 事件 backbone 本身采用多集群、多区域的部署模式，并通过自研的代理层实现集群间的无缝故障切换。这套架构被 Stripe 内部称为实现了 “六九” 可用性（99.9999%），即使某个集群完全不可用，生产者和消费者也能自动路由至其他健康集群，实现零停机维护。
在数据库层面，Stripe 构建了零停机数据迁移平台，能够在毫秒级切换在线流量在不同数据库分片或集群之间。这个平台维持源和目标分片之间的双向异步复制，支持快速回滚，确保在基础设施演进过程中金融记录的一致性不受影响。
服务层面则遵循无状态微服务原则，绝大多数请求处理服务可以水平扩展，实例之间互不共享状态，故障实例可以被快速替换。熔断器（circuit breaker）被嵌入每个外部处理器连接中，当某个卡组织或银行通道出现问题时，故障会被隔离在该通道内，不会引发级联崩溃。
可复用的工程实践
从 Stripe 的架构中可以提炼出若干可落地的工程参数。首先，将支付流程拆分为在线授权和离线结算两个独立路径，前者聚焦低延迟和可用性，后者确保会计正确性和合规性。其次，采用事件驱动架构加账本核心的模式：所有资金相关动作作为事件写入持久化日志，喂入强一致性账本和下游处理器。再次，支付编排层应支持多收单行路由和级联重试，根据实时反馈动态调整路由策略。最后，在金融核心链路上强制幂等性设计，使用幂等键 Exactly-Once 语义和事务性事件处理保证正确性。
这些设计并非 Stripe 独有，但其背后对金融级一致性的坚守、对全球化复杂度的抽象以及对极致可用性的追求，构成了 1590 亿美元估值最坚实的技术底座。
资料来源：Stripe 官方工程博客、InfoQ 关于 Stripe 零停机数据迁移平台的报道。