4. 回滚记录数据结构：核心字段设计

回滚记录是变更审计与故障恢复的核心证据链。每一条记录必须完整描述“谁、在什么时间、因为什么、对什么做了变更、变更前后状态如何、影响了哪些范围”。以下字段设计遵循 SRE 可观测性与合规审计双重标准，确保在巡检回滚场景下可快速定位、可追溯、可复现。

4.1 核心字段清单

4.2 字段关系与数据流

下图展示了回滚记录从触发到持久化的完整数据流，以及核心字段在流程中的写入时机：

4.3 字段详细设计说明

4.3.1 timestamp（时间戳）

• 格式：RFC3339 字符串（如 2025-03-21T14:30:00.123Z）或 Unix 毫秒整数。
• 用途：用于故障时间线重建、回滚延迟分析、多节点回滚顺序判定。
• 避坑：禁止使用本地时间，必须统一为 UTC；避免使用秒级精度，回滚操作通常在毫秒级完成。

4.3.2 change_id（变更 ID）

• 生成策略：UUID v4 或基于雪花算法的分布式 ID。
• 关联性：必须与原始变更工单 ID 或 Git commit SHA 建立映射关系，便于跨系统追溯。
• 示例：a1b2c3d4-e5f6-7890-abcd-ef1234567890

4.3.3 state_before / state_after（变更前后状态）

• 存储格式：JSON 或 YAML 结构化快照，包含完整配置键值对或缓存条目。
• 快照粒度：对于 CoreDNS，至少包含 Corefile 全文、Zone 记录列表、缓存 TTL 配置；对于 Nginx，包含 upstream 块、location 块。
• 校验方式：回滚后通过 diff 工具比对 state_after 与当前实际状态，确保回滚彻底。

// state_before (变更前)
{
  "corefile": ".:53 {\n    cache 30\n    forward . 8.8.8.8\n    log\n}",
  "zone": "example.com",
  "ttl": 30
}

// state_after (变更后)
{
  "corefile": ".:53 {\n    cache 60\n    forward . 8.8.4.4\n    log\n}",
  "zone": "example.com",
  "ttl": 60
}

4.3.4 operator（操作人）

• 标识方式：LDAP 用户名、服务账号（如 sre-bot）、自动化系统名（如 rollback-controller）。
• 审计要求：必须与统一身份认证系统联动，禁止使用匿名或共享账号。

4.3.5 rollback_reason（回滚原因）

• 分类：
  • 巡检异常：缓存命中率下降超过阈值、DNS 解析延迟飙升、配置语法错误。
  • 监控告警：QPS 突降、错误率上升、内存使用率超限。
  • 人工判定：变更后业务反馈异常、灰度验证失败。
  • 自动熔断：回滚控制器根据预置规则自动触发。
• 记录格式：建议使用结构化文本，包含触发规则 ID、当前值、阈值。

4.3.6 impact_scope（影响范围）

• 内容：受影响的节点列表、缓存集群名称、域名列表、QPS 降级百分比、用户影响面。
• 示例：

  {
    "nodes": ["cache-node-01", "cache-node-02"],
    "cluster": "prod-cache-east",
    "domains": ["api.example.com", "www.example.com"],
    "qps_degradation": "15%",
    "affected_users": "~2000"
  }

• 动态更新：回滚执行后，impact_scope 应根据实际影响范围更新，而非仅记录预设值。

4.4 字段设计对比：传统 vs SRE 标准

4.5 回滚记录与 CoreDNS 准入核验的联动

在 CoreDNS 配置变更场景中，回滚记录字段直接服务于准入核验流程：

• state_before 用于核验回滚后的 Corefile 是否与变更前完全一致。
• change_id 关联准入核验的变更审批记录，确保回滚操作已获授权。
• impact_scope 中的域名列表用于核验回滚是否覆盖了所有受影响的 DNS 解析记录。
• rollback_reason 中的巡检规则 ID 可直接映射到 CoreDNS 巡检项，形成闭环。

下图展示了回滚记录字段与 CoreDNS 准入核验的映射关系：

4.6 回滚记录存储与查询建议

• 存储后端：推荐使用 Elasticsearch 或时序数据库，支持时间范围查询与结构化字段过滤。
• 索引设计：以 timestamp 为主排序键，change_id 为文档 ID，避免重复写入。
• 生命周期：回滚记录至少保留 90 天，满足合规审计要求；超过 1 年的记录可归档至冷存储。
• 查询场景：
  • 按时间范围查询：timestamp >= '2025-03-01' AND timestamp < '2025-03-22'
  • 按操作人查询：operator: 'sre-bot'
  • 按影响范围查询：impact_scope.cluster: 'prod-cache-east'