工作台数据库变更门禁

本规则适用于工作台、工况任务、Agent Run、事件日志、通知、预约工单和告警在项目 BizDB 中的 DDL、数据回填、种子写入与清理操作。MetaDB、TimescaleDB 和外围系统数据库不在本文范围内。

当前基线

截至 2026-09-24，014_operational_tasks.sql 和 015_workbench_events_and_task_runs.sql 已应用到 tjwater_v2、szh_v2、md_v2、fengyang_v2 和 zjb。这是已有基线，不代表后续迁移可以继续批量应用。

017_workbench_schema_comments.sql 只为 workbench schema 及其 17 张表和关键列增加数据库可见注释。它先在 tjwater_v2 应用；其他项目数据库保持原状，直到 tjwater_v2 验证通过并获得明确扩展确认。

019_operational_task_access_requests.sql 已只在 tjwater_v2 应用，新增带表级和列级注释的任务访问申请表；初始记录数为 0。旧 workbench.work_orders 已退役，因此应用后 workbench schema 仍为 17 张表，而不是继续增加重复投影。其他项目数据库尚未应用 019。

未应用 019 的项目仍可读取既有工况任务，但创建访问申请会明确返回 503 DEPENDENCY_UNAVAILABLE，不会以缺表异常形成 500。单个任务同一时间只允许一个待审核访问申请；需要先审批或拒绝当前申请，避免 Agent 用不同请求号重复放大通知和事件。

018_remove_synthetic_check_task_projections.sql 清理曾被错误同步为预约任务的通用合成检查投影。它按完整 peripheral_sample:<work_order_id> 标识关联外围源，只匹配 general 类型、没有调查动作回执关联且由专用 seed actor 创建的旧检查任务；不使用用户可编辑的标题或工单状态作为删除依据。投诉与爆管事件以及调查产生的现场采样工单均不在清理范围。同步器使用同一专用 seed actor 阻止旧种子检查再次生成。

旧的三条演示工单已迁入 peripheral_sample.work_orders，并同步为有效的 external_work_order 任务。021_retire_workbench_work_orders.sql 仅在物理数据库为 tjwater_v2、旧表恰有这三条且每条都有有效外围工单和任务投影时删除旧表。其他四个项目数据库原本没有旧表，不执行本迁移。旧种子和迁入脚本已退役，不能再运行历史 011 重建双份数据。

后续数据库变更默认只写入 tjwater_v2。其他项目保持现状，必须等 tjwater_v2 验证通过并由维护者明确确认后，再逐库扩展。禁止把“所有活跃项目”作为写操作的默认范围。

通知生命周期迁移 022_operational_notification_lifecycle.sql 只修改现有通知 JSON 文档与列注释，不新增表或物理列。脚本带物理数据库名硬门禁；先在 tjwater_v2 核对待审批通知仍为 active、已审批通知变为 resolved，并验证 Header 只统计活动未读项。未取得维护者确认前，不向其他 BizDB 应用。

变更顺序

核对目标 DSN，确认物理数据库名为 tjwater_v2，并确认没有其他项目共享该 BizDB。
对目标库做完整、可恢复的备份。备份需通过 pg_restore --list 或等价方式检查，路径和校验值记录在部署记录中，不提交到仓库。
在强制回滚事务或由备份恢复出的临时库中执行完整迁移。只做静态 SQL 检查不能替代这一步。
只在 tjwater_v2 提交迁移，提交后立即核对表、列、约束、索引、回填数量和项目 ID。
完成接口、工作进程和浏览器验收。未通过时停止扩展，保留备份和现场信息。
维护者确认验收结果后，按一个项目一次的方式扩展。每个项目重新执行备份、回滚演练和验收，不复用 tjwater_v2 的通过结论。

SQL 文件包含自己的 BEGIN 和 COMMIT 时，不能在外层简单包一层 ROLLBACK 充当演练。演练工具需要移除脚本自己的事务边界，或在由备份恢复出的临时数据库中运行。

验收条件

tjwater_v2 同时满足以下条件后，才可以讨论扩展：

迁移重复执行不会产生重复记录或改变已经确认的终态数据。
表、约束和索引与迁移定义一致，没有其他项目 ID 的记录。
带 Bearer 和 X-Project-Id 的 sync-snapshot 返回 200，游标、任务和通知可以解析。
SSE 可以连接、发送 keepalive，并能从持久游标补读事件。
至少一条合成调查完成 queued、running、waiting_human 的主路径，计划、报告和通知属于同一执行代次。
Agent 或 Server 重启后，旧 Run 和旧会话不能覆盖当前代次。
Server、Agent 和前端的相关自动化测试通过，联调期间没有新增 5xx、跨项目数据或重复事件。

没有定义固定观察时长。验收记录至少包含执行时间、代码提交、迁移编号、备份标识、自动化测试结果和真实接口结果，由维护者决定是否扩大范围。

维护脚本也受范围限制

会枚举 Metadata DB 中所有活跃路由并写入数据库的脚本，属于跨项目变更。此类脚本必须提供显式项目参数，并默认拒绝全项目写入。

cleanup_workbench_events.py 会枚举所有活跃项目，但已经支持 --project-id。dry-run 可以查看全部项目；写入模式必须显式传入经核对属于 tjwater_v2 的项目 UUID，禁止省略 --project-id。种子、导入、回填和修复脚本同样不能把所有活跃项目作为隐式目标。

当前设计需要收敛的部分

现有设计保留以下主干：

operational_tasks 保存业务任务，operational_task_runs 保存每一代 Agent 执行。两者生命周期不同，分表有助于租约恢复和阻止旧代次写回。
domain_event_log 保存可重放事件，LISTEN/NOTIFY 只负责唤醒。当前规模不需要增加 Redis、Kafka 或新的中继服务。
通知表表达用户收件箱，事件日志表达状态变化。两者不能合并。
证据、计划、报告和动作修订需要保留历史版本，独立表符合审计和并发更新要求。

以下部分不再扩展：

operational_tasks 仍保存执行代次、执行请求号、Agent session 和租约字段，同时 Run 表也保存同类数据。新代码以 Run 表为准，不再增加任务表上的执行字段。待 tjwater_v2 稳定后，再设计前向迁移移除兼容字段。
status、lifecycle_status 和任务 JSON 中的状态存在重复表达。新接口以 lifecycle_status 为业务生命周期，以 Run 状态为执行状态，不再增加第四套状态字段。
定时任务表和 schedule API 不在当前产品主路径。相关结构保留兼容，不继续增加调度能力，除非 tjwater_v2 出现明确业务需求。
JSON 文档与标量列只保留查询、约束或兼容所需的重复字段。新增字段应先确定唯一权威来源，不能同时在多处独立计算。

新增表需要同时满足三个条件：对象有独立生命周期，访问或保留策略与现有表不同，并且 tjwater_v2 的真实用例证明复用现有结构会造成明显问题。否则优先收敛现有模型。

失败与回滚

任何数据库出现迁移失败、接口 5xx、跨项目记录、Run 代次错乱或游标异常时，立即停止后续项目。未提交的事务直接回滚；已经提交且不能安全前向修复时，按该项目的迁移前备份恢复。不要为保持各项目版本一致而继续扩大故障范围。

7.4 KiB Raw Blame History Unescape Escape