系列导航：11 | 12 | 13 | 14

迁移成功不等于数据库已经可用。空库安装验证的是完整历史，线上升级还要考虑旧应用并存、DDL 锁、回填速度和权限。一次服务发布曾在代码和容器准备完成后，生产账号执行迁移却因缺少 ALTER 和 INDEX 权限失败。这个问题不在 SQL 内容，属于迁移前置条件没有进入发布检查。

登记表是事实来源

迁移记录至少包含版本、文件名、checksum、执行序号、状态、执行人、耗时和错误摘要。已执行文件禁止原地修改，修正使用新版本。启动时发现文件 checksum 与登记值不一致，应停止自动迁移并报警，不能为了让部署继续而覆盖登记表。

登记表自身也要受保护。应用账号只读，迁移执行器拥有写入权限。手工 SQL 如果改变了生产结构，要补成正式迁移或登记为已应用版本，不能让测试环境和线上环境依靠“历史操作”维持一致。

Expand、Backfill、Contract

Expand 先添加可空字段、兼容索引或快照表，旧应用继续可用。应用升级后双写旧字段和新字段，后台使用稳定主键游标分批回填历史数据。对账完成后切换读路径，观察窗口结束，所有旧实例和离线任务退出，才进入 Contract。

回填条件带上新字段为空、源版本未变化等保护，防止覆盖在线写入。每批记录起止主键、扫描数、更新数、跳过数、失败数和校验摘要。暂停后从已提交游标继续，批次重试具备幂等条件，不能依赖 offset 扫描变化中的数据。

对账不只比较行数。字段拆分检查空值、范围、唯一性和重组结果，表迁移检查关联完整性，编码转换检查不可映射值。允许差异和处理结果写进发布记录，抽样人工核对只作为补充。

回滚按阶段定义

增加字段通常可以通过应用开关回退，读切换也可以切回旧路径。已经删除列或完成不可逆数据修正时，回滚依赖备份、归档表或补偿迁移，不能承诺“一键恢复”。发布单在执行前写清每个阶段的恢复动作、数据保留时间和负责人。