演进与上线策略

用于存量数据、旧客户端、部署兼容、外部能力不确定或高风险替换。没有这些风险时不必增加迁移脚本、开关和上线方案。

数据与协议兼容

核查存量规模、空值与异常分布、新旧代码是否同时运行，以及消费者能否同步升级。

• 读时兼容适合旧数据可无损解释且开销可控的情况，默认值不能掩盖脏数据。
• 批量迁移考虑分批大小、锁时长、检查点、重跑幂等、失败恢复和前后计数或校验。大规模写操作先在隔离副本验证。
• 破坏性变化通常采用“扩展新结构 → 兼容与迁移 → 验证 → 收缩旧结构”。批次按风险选择，不固定两个版本。

上线与恢复

评估旧代码能否读新数据，区分应用回滚与数据恢复。破坏性操作需授权、备份和恢复验证；没有可逆路径时如实说明。

首次进入真实环境前，按失败代价检查关键异常路径和恢复的执行条件：故障后谁还能运行、具有什么权限、通过什么入口完成恢复、凭什么确认已恢复。有回退脚本不等于故障时能执行它；若恢复依赖已经失效的登录、网络或服务，应先准备独立的执行路径或缩小实验范围。可在隔离环境验证的失败和竞争行为先在那里检查，不全部留给部署后的成功路径测试。

高风险替换可选灰度、功能开关、分批流量或影子比对，明确观察信号、停止条件与恢复动作。不为一个开关引入新平台；未经授权不部署、不重启用户服务、不改已发布产物。

技术探查与清理

对不确定的 API、版本能力或性能上限，先看适用版本的文档、调用与日志；仍不足时选最小实验或隔离原型（PoC），说明要推翻或支持的假设、输入、判定标准、影响范围与停止条件。只验证能改变决定的未知，不为已有充分依据的行为额外造探针。

探查后按结果更新方案：原型被舍弃则清理本次临时产物，转为正式实现则重新核对行为、责任与运行边界，不以“已经跑通”默认接管真实使用。共同记录保留结论、证据位置和未覆盖条件。需保留的旧版本、临时兼容、接口和数据说明用途及可观测退役条件，例如“消费者全部升级且对账通过”；满足后依项目授权清理，不能把试验残留无限累积为正式结构。