Postgres Migration Safety Auditor.

La maggior parte delle revisioni di migrazioni è un generalista che legge un diff. Così sfuggono proprio i modi specifici in cui una migrazione PostgreSQL mette a terra il sito. L'auditor controlla 36 regole, analizza la tua migrazione reale con il vero parser di PostgreSQL (non regex) e segnala ogni rischio con una citazione ufficiale:

• ALTER che prendono lock (ACCESS EXCLUSIVE e simili)
• Costruzioni di indici non concorrenti (CREATE / REINDEX / DROP INDEX senza CONCURRENTLY)
• SET NOT NULL che scansiona tutta la tabella, e quando un CHECK validato te lo risparmia su PG12+
• Foreign key o CHECK aggiunti senza NOT VALID seguito da VALIDATE
• Default di colonna volatili e cambi di tipo che forzano la riscrittura dell'intera tabella
• Backfill messi nell'ordine sbagliato rispetto al vincolo
• Operazioni distruttive (DROP TABLE / TRUNCATE / DROP COLUMN / DROP SCHEMA CASCADE)
• Attach e detach di partizioni, LOCK TABLE esplicito, UPDATE / DELETE massivi non suddivisi in batch

Le dieci modifiche di schema che più facilmente mettono a terra un database PostgreSQL attivo, ognuna con la riscrittura sicura. Una migrazione è pericolosa quando tiene un lock forte (ACCESS EXCLUSIVE blocca letture e scritture, SHARE blocca le scritture) mentre scansiona o riscrive una tabella grande. Su una tabella piccola non te ne accorgi, su una tabella di produzione molto usata è un disservizio. Flyway e Liquibase avvolgono ogni migrazione in una transazione per impostazione predefinita, e per diverse di queste fa la differenza.

1. CREATE INDEX (senza CONCURRENTLY) prende un lock SHARE che blocca ogni scrittura per tutta la costruzione. Sicuro: CREATE INDEX CONCURRENTLY ... fuori da una transazione.
2. SET NOT NULL (diretto) scansiona tutta la tabella sotto ACCESS EXCLUSIVE. Sicuro: ADD CONSTRAINT c CHECK (col IS NOT NULL) NOT VALID, poi VALIDATE CONSTRAINT c, poi SET NOT NULL (la scansione viene saltata su PG12+).
3. ADD CHECK (senza NOT VALID) scansiona tutta la tabella sotto ACCESS EXCLUSIVE. Sicuro: aggiungilo come NOT VALID, poi VALIDATE.
4. ADD FOREIGN KEY (senza NOT VALID) valida ogni riga tenendo su entrambe le tabelle un lock che blocca le scritture. Sicuro: aggiungilo come NOT VALID, poi VALIDATE.
5. ADD COLUMN con un DEFAULT volatile o SERIAL riscrive l'intera tabella (gen_random_uuid(), random(), SERIAL). now() e CURRENT_TIMESTAMP sono sicuri. Sicuro: aggiungi nullable, fai il backfill a batch, poi SET DEFAULT.
6. ALTER COLUMN ... TYPE riscrive la tabella, tranne per conversioni binariamente compatibili come da varchar a text. Sicuro: nuova colonna, backfill, scambio, elimina la vecchia.
7. ADD PRIMARY KEY / UNIQUE (diretto) costruisce l'indice sotto ACCESS EXCLUSIVE. Sicuro: CREATE UNIQUE INDEX CONCURRENTLY, poi ADD CONSTRAINT ... USING INDEX.
8. Backfill nell'ordine sbagliato o in un unico statement enorme falliscono o generano bloat. Sicuro: aggiungi nullable, backfill a batch, valida e solo dopo stringi, distribuendo su deploy separati.
9. DDL che prende lock senza lock_timeout può bloccare tutto il traffico in coda dietro di esso. Sicuro: SET lock_timeout = '2s'; prima di DDL rischiosa, e riprova in caso di timeout.
10. Operazioni distruttive (DROP / TRUNCATE / DROP COLUMN) sono irreversibili e rompono i deploy progressivi. Sicuro: expand/contract, smetti prima di referenziare l'oggetto, ed eliminalo in un deploy successivo.

Trappola: CREATE INDEX CONCURRENTLY non può girare dentro una transazione, ed è esattamente così che Flyway e Liquibase avvolgono le migrazioni per impostazione predefinita, quindi una migrazione con indice concorrente senza accorgimenti fallisce. Disattiva la transazione avvolgente per quella singola migrazione. L'auditor intercetta anche questo, più 25 regole oltre a queste dieci.

Per scelta è analisi puramente statica: legge il testo della migrazione e non si connette mai al tuo database, quindi non serve alcuna credenziale e gira allo stesso modo in CI o sul tuo portatile, senza che nulla lasci la tua macchina. Ragiona sulla versione di Postgres e sui conteggi di righe che gli fornisci (o compilati automaticamente tramite l'introspezione locale opzionale in sola lettura) e intercetta i rischi comuni ad alto impatto che una revisione del diff si perde.