Postgres Migration Safety Auditor.

De meeste migratiereviews zijn een generalist die een diff leest. Daarmee mis je juist de specifieke manieren waarop een PostgreSQL-migratie je site plat legt. De auditor controleert 36 regels, parst je werkelijke migratie met de echte PostgreSQL-parser (geen regex) en markeert elk risico met een officiële bronvermelding:

• Lock-nemende ALTERs (ACCESS EXCLUSIVE en verwanten)
• Niet-concurrent index-builds (CREATE / REINDEX / DROP INDEX zonder CONCURRENTLY)
• SET NOT NULL die de hele tabel scant, en wanneer een gevalideerde CHECK je dat op PG12+ bespaart
• Foreign keys of CHECKs toegevoegd zonder NOT VALID gevolgd door VALIDATE
• Volatile kolomdefaults en typewijzigingen die een herschrijving van de hele tabel afdwingen
• Backfills die in de verkeerde volgorde voor de constraint komen
• Destructieve operaties (DROP TABLE / TRUNCATE / DROP COLUMN / DROP SCHEMA CASCADE)
• Partities attachen en detachen, expliciete LOCK TABLE, ongebatchte bulk UPDATE / DELETE

De tien schemawijzigingen die een draaiende PostgreSQL-database het vaakst plat leggen, met voor elk de veilige herschrijving. Een migratie is gevaarlijk zodra hij een zware lock vasthoudt (ACCESS EXCLUSIVE blokkeert lezen en schrijven, SHARE blokkeert schrijven) terwijl hij een grote tabel scant of herschrijft. Op een kleine tabel merk je er niets van, op een drukke productietabel is het een storing. Flyway en Liquibase verpakken elke migratie standaard in een transactie, en dat maakt voor een aantal hiervan uit.

1. CREATE INDEX (zonder CONCURRENTLY) neemt een SHARE-lock die elke schrijfactie blokkeert zolang de index bouwt. Veilig: CREATE INDEX CONCURRENTLY ... buiten een transactie.
2. SET NOT NULL (direct) scant de hele tabel onder ACCESS EXCLUSIVE. Veilig: ADD CONSTRAINT c CHECK (col IS NOT NULL) NOT VALID, dan VALIDATE CONSTRAINT c, dan SET NOT NULL (scan vervalt op PG12+).
3. ADD CHECK (zonder NOT VALID) scant de hele tabel onder ACCESS EXCLUSIVE. Veilig: voeg hem toe als NOT VALID en doe daarna VALIDATE.
4. ADD FOREIGN KEY (zonder NOT VALID) valideert elke rij terwijl hij op beide tabellen een lock houdt die schrijven blokkeert. Veilig: toevoegen als NOT VALID, daarna VALIDATE.
5. ADD COLUMN met een volatile DEFAULT of SERIAL herschrijft de hele tabel (gen_random_uuid(), random(), SERIAL). now() en CURRENT_TIMESTAMP zijn veilig. Veilig: nullable toevoegen, in batches backfillen, daarna SET DEFAULT.
6. ALTER COLUMN ... TYPE herschrijft de tabel, behalve bij binair converteerbare wijzigingen zoals varchar naar text. Veilig: nieuwe kolom, backfillen, omwisselen, de oude verwijderen.
7. ADD PRIMARY KEY / UNIQUE (direct) bouwt de index onder ACCESS EXCLUSIVE. Veilig: CREATE UNIQUE INDEX CONCURRENTLY, daarna ADD CONSTRAINT ... USING INDEX.
8. Backfills in de verkeerde volgorde of in één reusachtige statement lopen vast of veroorzaken bloat. Veilig: nullable toevoegen, in batches backfillen, valideren en pas daarna aanscherpen, verdeeld over losse deploys.
9. Lock-nemende DDL zonder lock_timeout kan al het verkeer dat erachter in de wachtrij staat laten stilvallen. Veilig: SET lock_timeout = '2s'; vóór riskante DDL, en opnieuw proberen bij een timeout.
10. Destructieve operaties (DROP / TRUNCATE / DROP COLUMN) zijn onomkeerbaar en breken rolling deploys. Veilig: expand/contract, eerst stoppen met naar het object te verwijzen, en het in een latere deploy verwijderen.

Valkuil: CREATE INDEX CONCURRENTLY kan niet binnen een transactie draaien, en precies zo verpakken Flyway en Liquibase migraties standaard, dus een kale concurrent-index-migratie loopt vast. Zet de omhullende transactie uit voor die ene migratie. De auditor vangt ook dit, plus 25 regels bovenop deze tien.

Bewust puur statische analyse: hij leest de tekst van de migratie en maakt nooit verbinding met je database, dus hij heeft geen credentials nodig en draait identiek in CI of op je laptop, zonder dat er iets je machine verlaat. Hij redeneert op basis van de Postgres-versie en de rijaantallen die je meegeeft (of die automatisch worden ingevuld via de optionele lokale read-only introspectie) en vangt de veelvoorkomende risico's met grote impact die een diff-review mist.