LLM 生成数据库迁移脚本：从 schema 变更到可回滚实践

一、迁移脚本的隐形风险

加个字段、改个类型，看起来小事一桩。手写迁移 SQL，稍漏一句，线上数据就乱。更怕的是"能前进不能后退"，出问题无法回滚。

迁移脚本和一般代码不同：它直接动生产数据。错一步，代价是丢数据、锁表、服务中断。这类脚本，容错率极低。

大模型擅长按 schema 差异生成迁移。但它必须懂"数据安全"的约束：先备份思路、加锁策略、回滚语句。本文探讨用 LLM 生成可回滚的迁移脚本。

二、迁移生成的机制

迁移生成分三步：diff、生成、校验。diff 段比对新旧 schema，列出变更点。生成段为每点产出"正向 + 反向"两条语句。校验段检查是否有破坏性的隐式操作（如丢列无备份）。

关键是"成对产出"。每条 forward 都配一条 backward。这样任何迁移都可撤销，而非单行道。

下面是生成的链路：

flowchart TD
A[旧 schema] –> B[diff 变更点]
C[新 schema] –> B
B –> D[生成 forward SQL]
B –> E[生成 backward SQL]
D –> F[校验: 含锁/备份策略]
E –> F
F –> G{安全?}
G –>|是| H[产出可回滚迁移]
G –>|否| I[提示人工补全]
style H fill:#e8f5e9
style I fill:#ffebee

关键在"破坏性操作拦截"。删列、改类型这类不可逆操作，必须显式确认。绝不能模型默认可执行。

三、生产级实现

下面用代码描述迁移的生成与校验骨架。

from dataclasses import dataclass
from typing import Optional

@dataclass
class Migration:
name: str
forward: str
backward: str
destructive: bool = False

DESTRUCTIVE_HINTS = ["DROP", "DELETE", "ALTER … TYPE"]

def guard(m: Migration) -> Migration:
"""标记破坏性操作，强制人工确认而非自动执行"""
upper = m.forward.upper()
m.destructive = any(h.split()[0] in upper for h in DESTRUCTIVE_HINTS)
return m

def emit(m: Migration) -> str:
if m.destructive:
# 破坏性迁移必须带备份与回滚，且不自动跑
return f"– 需人工确认(破坏性)\\n– 前置: 全量备份\\n{m.forward}\\n\\n– 回滚:\\n{m.backward}\\n"
return f"{m.forward}\\n\\n– 回滚:\\n{m.backward}\\n"

if __name__ == "__main__":
m = Migration("add_email", "ALTER TABLE users ADD email TEXT;", "ALTER TABLE users DROP email;")
print(emit(guard(m)))

真实流程会先 dry-run 在影子库。并用事务包裹，失败整体回滚。大表变更改用在线 DDL，避免长锁。

四、LLM 生成数据库迁移脚本的代价与边界

LLM 生成迁移高效，但安全红线不能碰。

不可逆操作的绝对谨慎。DROP/类型变更一旦执行难挽回。必须人工确认 + 前置备份 + 回滚语句三件套。模型可生成，不可自动批准。

大表锁表风险。ALTER 大表会长时间锁，阻塞业务。应识别表规模，改用 pt-online-schema-change 类工具。生成脚本要区分"小表直接改"与"大表在线改"。

数据回填的正确性。加非空列要补默认值或回填。模型易漏"历史数据怎么填"这一步。生成时要显式问清回填策略。

环境差异。开发库结构与生产可能不一致。生成应基于生产 schema 的快照，而非本地。否则迁移在生产跑出未预期错误。

迁移生成的"环境一致性"是隐形雷区。开发库结构与生产往往不同步，基于本地 schema 生成的迁移，在生产跑可能引用了不存在的表或字段。建议生成前先拉取生产 schema 快照作为事实来源，而非信任本地。另一个实践是"预演机制"：迁移先在影子库或副本库完整跑一遍 forward+backward，确认可逆且无误，再上生产。最后，大表迁移要避开业务高峰，用在线 DDL 工具在流量低峰执行，并把"锁时长"作为审批硬指标，超过阈值必须改方案，不能拿业务可用性赌。

五、总结

用 LLM 生成迁移脚本，本质是用"成对回滚"换数据安全。机制上 diff 产出 forward/backward，破坏性操作强制人工。工程上 dry-run 影子库、在线 DDL 控锁、基于生产 schema。

落地路线：先 diff 出变更点；成对生成正反语句；标记破坏性并前置备份；大表走在线变更。迁移能前进也能后退，线上才敢动。

LLM 生成数据库迁移脚本：从 schema 变更到可回滚实践