从原型到生产软件

原型回答的是不同问题

原型追问想法是否可行、体验是否值得追求。生产软件追问想法能否在真实用户、真实数据、变化需求，以及不便时刻的值班工程师面前持续工作。混淆这些目标要么拖慢发现，要么上线隐藏风险。

保留原型的学习，但显式审阅每个捷径。识别硬编码假设、共享凭证、手工步骤、缺失所有权、无界成本，以及无法恢复的数据。原型是证据，并不自动是第一套生产架构。

定义运营边界

写明谁使用产品、处理哪些数据、哪些动作不可逆，以及依赖哪些外部服务。定义可接受的延迟、可用性、支持期望、保留与恢复。这些约束比按流行度选技术更能指导架构。

在约束允许下保持首个生产系统尽可能简单。带清晰数据模型的模块化单体，往往比过早分布式服务更易运维。分布应解决已度量的扩展、所有权、隔离或部署问题。

• 分离环境与凭证
• 自动化可重复部署
• 创建备份并测试恢复
• 为延迟、错误与第三方成本设定预算

让不安全状态难以出现

在每个信任边界校验数据，在服务器强制授权，保护密钥，并最小化收集的个人信息。使用最小权限服务身份，并在不重建应用的情况下轮换凭证。当正常开发路径也是安全路径时，安全最强。

管理工具应得与客户界面同等的细致。敏感动作需要显式权限、审计记录、适当时的确认，以及有界批处理。许多破坏性事故发生在合法能力被错误范围使用之时。

构建交付系统

生产仓库需要快速反馈：格式化、静态分析、类型检查、围绕关键行为的测试，以及可复现构建。部署应小、可观测、可逆。当功能开关有所有权与移除日期时，它们可分离发布与暴露。

在上线前为重要用户结果埋点。没有发布标识或请求上下文的错误报告难以行动。将技术健康与产品信号结合，使团队能区分成功的部署与成功的体验。

就绪是持续的

软件没有永久变成生产就绪的单一时刻。流量增长、集成变化、团队重组、假设过期。用事故、支持请求、性能数据与产品行为精炼系统。

从演示到耐用产品的转变，主要是增加显式责任：对数据、失败、成本、安全、发布与用户。正是这种责任，让一小块软件变得可靠。