精确回滚

切流前记录上一生产部署。候选提升后若 readiness 或核心旅程失败，立即把域名恢复到该部署，再调查故障。数据库迁移应提前设计向前兼容，避免应用回滚后无法读取新结构。