前向修复

发布回滚最危险的时刻，往往不是系统报错，而是团队在没有确认影响范围、数据状态和回退条件时，急着把“上一版”重新部署上去。一次看似简单的回滚，可能让新旧数据库结构不兼容、重复处理支付…

回滚不是发布失败后的“撤销键”，而是发布设计的一部分。一次发布即使能在十分钟内恢复旧版本，如果数据库已经不可逆地改写、消息队列堆积了新格式数据，或者值班人员不知道谁有权拍板，回滚仍…