围绕明确边界构建预发布环境

定义演练必须证明什么

一次报告 API 发布可能需要配置验证、schema 兼容性、一次已认证请求和一次完成的导出。并非每次审查都需要生产规模数据。先编写检查，然后确定会实质性影响其结果的环节属性。

使用经授权的非生产目标、独立凭据、已知构件以及合成或适当脱敏的记录。如果数据处理要求不明确，使用合成数据。为 PrivacyNodes 服务器选择瑞士或巴拿马并不建立处理协议，也不决定每份数据副本或备份的存储位置。

选择哪些必须独立

一台主机上的独立数据库仍共享资源和故障边界。独立主机可减少部分耦合，但无法纠正指向生产环境的凭据。除进程放置外，还要检查目标和权限。主机管理员访问权限以及对 Docker 守护进程的访问可能破坏原本谨慎的应用隔离。

检查暴露面而不是信任名称

在没有主机地址的情况下发布 Docker 端口，通常会将其暴露在所有主机地址上。在文档所述的桥接/NAT 设置中，显式绑定回环地址可缩小暴露范围，但这并不是完整的访问控制设计。Docker 文档记录了一个早于 28.0.0 的同网络注意事项，以及不同网络模式下的行为差异。请审查已安装的版本和拓扑。

容器流量可能绕过运维人员预期的 UFW 路径。不要仅凭防火墙状态就推断数据库是私有的，也不要为了图省事而禁用 Docker 的数据包过滤规则。请使用所涉及的地址族，从独立客户端验证预期访问，而不要在生产防火墙上进行实验。

技术参考： Docker 端口发布 · Docker 数据包过滤与防火墙.

让测试数据有用且受控

创建具有真实关系和边缘情况的合成账户：空导出、大型报表和已撤销账户。保留能够检验迁移的形态，同时不保留不必要的身份识别细节。对于任何获批的数据副本，记录来源、脱敏过程和删除日期。

不要为了让配置检查通过而提供预发布环境的生产邮件或支付凭据。请使用沙盒或受控目标。也要测试失败行为：被禁用的集成应产生已知响应，而不是对实时服务反复重试。检查测试导出和捕获接收端，以确认实际走的是预期路径。

记录限制结果的差异

在决定行为的方面，保持运行时主版本、配置架构和迁移顺序一致。记录数据库大小、缓存状态、工作进程并发数和依赖项的差异。功能检查成功并不能证明生产吞吐量或延迟。

在共享的小型主机上进行预发布可能与生产争用资源，使演练失效并影响实际资源预算。对于功能发布验证，单独一台配置适中的主机可能更易于推理。负载测试或大型迁移需要与任务相适应的容量；最小规格并不是通用的预发布容量。

将拆除纳入完成定义

记录制品、迁移结果、冒烟检查以及与目标环境的差异。按策略撤销临时访问、使导出过期并移除一次性数据。确认计划任务仍处于禁用状态，且没有工作进程指向实时目标。

该 预发布场景 将聚焦的 Dev 1 预算与更大的演练进行比较。将其与 发布记录配合使用。结果是一组有文档记录的有用检查和边界，而不是声称预发布能完全复现生产。