数据库生产治理

这一层不讲 DBMS 内核，也不讲业务落表；只回答数据库上线后怎样继续安全变化、排障、恢复和控风险。

收敛原则：生产治理页不再按关键词平铺，而按事故类型分成 5 个治理域。先判断事故属于哪一类，再进入对应下钻页。

一、先判断是哪类生产事故

事故现象	优先进入	不要先做什么
上线改表、加索引、回填、旧字段退场，代码回滚但数据回不去。	变更治理	不要把迁移当一次 SQL 执行。
数据重复、漏同步、读模型和主库不一致，并发下偶发覆盖。	正确性与一致性治理	不要只补接口测试。
查询慢、连接池满、锁等待、从库延迟、CPU 不高但用户打不开。	性能容量与可观测性	不要先盲目加机器或加索引。
主库挂了、误删数据、恢复库不可信、备份有但恢复不出来。	高可用、备份与恢复	不要把副本当备份。
越权、串租户、敏感字段泄露、大租户拖垮小租户。	权限、租户与安全治理	不要只在页面层补权限判断。

二、五个治理域

1. 变更治理

负责 schema、索引、迁移、回填、归档和旧结构退场。先看数据库演进；具体下钻到在线迁移、Schema 预审与 DDL 风险、归档与生命周期。

2. 正确性与一致性治理

负责证明数据没有写坏、没有同步分叉、没有并发覆盖，坏数据能被安全修复。下钻到正确性护栏、锁与死锁治理、 CDC 与派生一致性、生产数据修复。

3. 性能容量与可观测性

负责慢查询、容量水位、连接池、等待事件、证据链和分片扩容。下钻到性能与容量治理、可观测性与事故排查、分库分表与再平衡。

4. 高可用、备份与恢复

负责主库故障、读写分离、旧主隔离、误删恢复、恢复库校验和灾难演练。下钻到高可用与故障切换、备份恢复与灾难演练。

5. 权限、租户与安全治理

负责租户边界、行列权限、敏感字段、导出审批、审计证据和噪声邻居。下钻到权限审计、租户隔离与敏感数据治理。

三、和相邻主题的边界

一句话：数据库生产治理不是更多数据库知识，而是上线后五类事故的治理入口：变更、正确性、性能、恢复、安全。