qiji/docs/发布与回滚检查表.md

企迹系统发布与回滚检查表

每次生产发布由发布负责人逐项勾选，并将结果随变更单、流水线和制品一并归档。

1. 发布前

• 变更已合并至受保护分支，MR 审核记录完整。
• 已创建发布 Tag，记录提交 SHA、镜像摘要和发布日期。
• CI 全部通过：后端测试、前端构建、Ruff、Bandit、依赖漏洞审计、SBOM、Trivy 文件系统扫描。
• 已归档 sbom-backend.cdx.json、测试报告和扫描报告。
• 生产密钥由受控环境或密钥管理系统注入，未写入 Git、镜像层或发布记录。
• 数据库已完成备份，并验证备份可读取；回滚负责人和窗口已确认。
• 对象存储桶为私有，应用服务账号采用最小读写权限。

2. 数据库迁移

在维护窗口、使用生产应用运行身份执行：

cd /path/to/qiji/backend
alembic current
alembic upgrade head
alembic current

• alembic current 显示预期修订版本。
• 核验 users.wecom_userid 的唯一索引已创建。
• 如迁移失败，停止发布；不得通过手工修改表结构绕过迁移记录。

3. 发布与验证

• 使用指定 Tag/镜像摘要部署；禁止直接从未审核工作区运行。
• 服务以受控 systemd 服务或编排平台运行，未使用开发热重载。
• 仅反向代理对公网开放 HTTPS；数据库、缓存、MinIO 管理端口不对公网监听。
• 健康检查通过：GET /health。
• 回归登录、角色授权、企微绑定、受控图片上传和图片下载授权。
• 抽查应用日志，确认未输出口令、密钥、令牌或用户输入正文。

4. 回滚

触发条件：迁移失败、健康检查失败、关键业务回归失败、出现高危安全告警。

1. 停止本次发布流量切换，恢复上一稳定版本的镜像/制品。
2. 仅在已验证可逆且有审批的情况下执行 alembic downgrade；基线迁移不允许通过盲目降级删除历史表。
3. 如数据不兼容，按已验证的备份恢复方案处理，并保留操作审计。
4. 复测健康接口和关键业务，记录故障、影响范围、回滚时间和后续整改项。

5. 发布归档

• 变更单与审批记录
• Git Tag、提交 SHA、镜像摘要和 SBOM
• 测试、扫描、迁移和部署日志
• 上线验证与回滚演练记录