9.1 配置与发布管理

发布不是“把代码丢到生产”。发布管理要让变更可追踪、可控制、可回滚、可观察。配置管理则确保同一个制品在不同环境中的行为可理解、可审计。

上线事故常常不是代码逻辑错，而是配置错、环境错、版本错、回滚路径没准备好。

配置是生产行为的一部分

配置包括环境变量、功能开关、密钥、外部服务地址、限流阈值、区域设置、权限策略等。它们不一定在代码里，却会决定系统行为。

好的配置管理应该具备：

• 环境隔离：开发、测试、预发布、生产不能混用敏感配置。
• 权限控制：不是所有人都能改生产配置。
• 审计记录：谁在什么时候改了什么。
• 安全默认值：缺失配置时系统不要默认危险行为。
• 可回滚：错误配置能快速恢复。

发布说明与版本

版本号、发布说明和制品标识帮助团队追踪“生产现在跑的是什么”。当事故发生时，团队需要快速知道：

• 哪个提交进入了生产？
• 包含哪些功能和修复？
• 配置和迁移是否一起变化？
• 是否能回滚到上一个制品？
• 用户影响从哪个时间点开始？

没有这些信息，排障会退化成猜测。

回滚思维

回滚不是失败后的临时动作，而是发布设计的一部分。发布前要想清楚：

• 数据迁移是否向后兼容？
• 功能开关能否关闭风险路径？
• 旧版本是否还能读新数据？
• 回滚触发条件是什么？
• 谁有权限执行回滚？

可靠发布不是保证永不出错，而是让错误可发现、可限制、可恢复。