Apakah kriteria yang anda gunakan untuk memilih antara rollback dan hotfix?

Question

Accepted Answer

Lalai kepada **rollback** — ia ialah cara paling pantas dan paling boleh dipercayai untuk memulihkan keadaan known-good. Capai **hotfix** hanya apabila rollback mustahil atau lebih berbahaya daripada membaiki ke hadapan. Dalam incident aktif, keutamaan ialah **hentikan pendarahan dahulu**, diagnos kemudian.

## Kriteria keputusan

- **Adakah rollback selamat dan boleh dilakukan?** Jika versi sebelumnya known-good dan tiada apa-apa yang tidak boleh balik berlaku, rollback. Ini jawapan biasa.
- **Adakah keluaran buruk itu mencipta keadaan yang tidak boleh balik?** Satu **database migration** atau kerosakan data boleh menjadikan rollback lebih teruk daripada pepijat itu. Jika anda tidak boleh kembali dengan selamat, anda mesti membaiki ke hadapan.
- **Adakah kita memahami pembaikan itu?** Rollback tidak memerlukan diagnosis — itu kuasanya. Satu hotfix yang anda tidak fahami sepenuhnya boleh mendalamkan incident; jangan sekali-kali menghantar tekaan ke prod di bawah tekanan.
- **Masa untuk keadaan selamat.** Pilih mana-mana laluan yang mencapai kestabilan paling pantas dengan risiko paling sedikit. Satu hotfix satu baris yang difahami dengan baik boleh mengatasi rollback yang kompleks; satu pembaikan-ke-hadapan berisiko tidak pernah mengatasi revert yang bersih.
- **Radius letupan dan keterukan.** Satu outage penuh menuntut pemulihan paling pantas yang mungkin (biasanya rollback); kemerosotan kecil mungkin membenarkan hotfix yang berhati-hati.

## Satu jadual keputusan ringkas

| Situasi | Pilih |
| --- | --- |
| Versi sebelumnya known-good, tiada migration | Rollback |
| Migration DB yang tidak boleh balik dihantar | Hotfix / fix-forward |
| Punca tidak diketahui, impak teruk | Rollback (beli masa) |
| Trivial, satu baris yang difahami dengan baik | Hotfix |
| Rollback itu sendiri berisiko/tidak diuji | Hotfix |

## Trade-off dan perangkap

- **Rollback** selamat tetapi hanya merawat gejala — anda masih berhutang pembaikan sebenar dan satu postmortem.
- **Hotfix** menangani punca utama tetapi melangkau jaring keselamatan biasa; pepijat dalam hotfix adalah biasa tepat kerana ia tergesa-gesa.
- **Laluan rollback yang tidak diuji** ialah perangkap — jika anda tidak pernah meraikannya, ia mungkin gagal apabila anda paling memerlukannya. Latih rollback sebelum anda memerlukannya.
- Berhati-hati dengan **menyahpepijat dalam production** di bawah tekanan; jika anda lebih daripada beberapa minit jauh daripada pembaikan yang yakin, rollback dan siasat dengan tenang.

## Mengapa ia penting

Keputusan ini berlaku pada saat paling teruk yang mungkin — sistem tumbang, jam berdetik, semua orang memerhati. Seorang Tech Lead dengan peraturan yang jelas dan terlatih untuknya memotong MTTR secara dramatik dan mengelakkan kesilapan klasik cuba menjadi pintar di tengah-tengah incident apabila revert yang membosankan berada tepat di situ. Pulihkan dahulu, jadi pintar selepas itu.

Situasi	Pilih
Versi sebelumnya known-good, tiada migration	Rollback
Migration DB yang tidak boleh balik dihantar	Hotfix / fix-forward
Punca tidak diketahui, impak teruk	Rollback (beli masa)
Trivial, satu baris yang difahami dengan baik	Hotfix
Rollback itu sendiri berisiko/tidak diuji	Hotfix