Production 更新应像事务一样执行，Rollback 必须属于发布流程

Production 更新不应该从把新文件直接覆盖到正在运行的系统开始。在变更之前，需要明确当前版本、依赖关系、数据状态，以及判断新版本是否成功的验收标准。

可靠的流程会先验证前置条件并建立可回退点，然后受控地发布新版本，最后执行 acceptance。如果验证失败，系统应能够恢复到先前状态，而不是依赖人工重建。

因此 rollback 必须与更新同时设计。这样，production 变更就从一组命令变成一个可管理的事务：起点已知、结果可验证、失败时可以安全结束。