迁移脚本纳入 CI；生产先备份再应用。讨论事务与锁时长，不碰未授权库访问。