CHECKLIST · 2026-11

网站上线与维护检查清单

配合视频《AI 时代全栈工程师：一个网站从需求到上线和维护》。勾选状态只保存在你自己的浏览器里。服务名只是举例，不代表推荐；价格、配额以各家最新说明为准；标“示意”的数字只是示例。

0 案例与范围

小团队用的活动报名网站：参与者用邮箱登录、填表报名、在线付费、收到确认邮件；组织者在后台看名单、导出、取消、退款。

需求→开发→上线→维护→ 新需求回到第一步

1 需求

把一句话想法拆成用户故事：作为谁，我想做什么，以便什么每个故事写验收标准（给定 / 当 / 应该），能直接变成测试写“第一版不做”清单（如多语言、优惠券、多币种、移动端应用）让 AI 追问边界情况：重复报名、付款后关页面、取消活动、付款中途名额被占每条边界情况由你给出答案，写进文档 docs/spec.md 放进仓库：目标与不做清单、故事、验收标准、数据模型、外部服务与费用、开放问题

给定 活动已满员（40 / 40）
当   用户点击“报名”
应该 看到“加入候补”选项
并且 不创建支付会话，不扣款

2 技术选型

标准不是性能，而是你能不能维护得了它。每一块都应能在需要时替换。

	全托管	自己管
前端 / 函数	Vercel、Netlify、Cloudflare 等托管平台	云服务器 + Docker Compose，或 Fly.io、Render、Railway 等容器平台
数据库	托管 Postgres（如 Neon、Supabase）	自己跑 Postgres（或仍用托管）
登录 · 邮件 · 支付	现成服务（如 Auth.js / Clerk；Resend / Postmark；Stripe）	同左，尽量不自建
优点	几乎不碰服务器，起步快	成本可控、可迁移、更自由
代价	月费随用量上涨；被平台绑住的程度	备份、升级、补丁、监控都是你的事

用户主要在国内时，国内云厂商也有对应的托管服务和服务器产品，思路相同；网络、合规和可选服务范围不同，按实际情况选。

3 与 AI 代理协作

仓库根目录放代理说明文件（AGENTS.md、CLAUDE.md 等）：项目是什么、怎么跑、怎么测、约定、不要碰的地方一次只让代理做一件小事，对应规格里的一条故事先写测试、看它失败，再实现每次改动都看差异，确认只改了该改的地方代理写的代码与人写的代码走同一条流水线

必须由人拍板	代理可以
数据模型（改起来最贵）	给出方案和取舍
权限：谁能看到谁的数据	写代码、写测试
花钱：付费服务、机器规格	审查、找漏洞
对用户的承诺：退款规则、隐私	整理文档

# 活动报名网站
规格：docs/spec.md（每个任务先读对应小节）

## 运行
pnpm install && pnpm db:migrate && pnpm db:seed
pnpm dev     # http://localhost:3000
pnpm test    # 单元测试；pnpm e2e 走浏览器

## 约定
- 接口输入一律校验；金额用整数（分），时间存 UTC
- 改表结构只写新迁移，不改旧迁移
- 改功能时同时更新 docs/spec.md

## 不要碰
- .env*、已有的迁移文件、支付回调的验签逻辑
- 不要新增依赖，除非任务里写了

4 设计与前端（详见前两个系列）

页面清单与关键流程（报名 → 付款 → 成功 / 失败 / 候补）设计系统与组件库；空状态、错误状态、加载状态表单：前端提示 + 服务端为准；提交中禁用按钮；失败可重试且输入不丢可访问性：标签、焦点、对比度、键盘性能预算：首屏 JS 体积、LCP、INP；图片压缩与懒加载

5 后端与支付回调

提交表单→登录校验→权限检查→输入校验→事务：写报名 + 锁名额→创建支付会话

BEGIN;
SELECT taken, capacity FROM events WHERE id = $1 FOR UPDATE;  -- 锁住这一行
INSERT INTO registrations (...) VALUES (...);
UPDATE events SET taken = taken + 1 WHERE id = $1;
COMMIT;

支付回调（以 Stripe 为例）

验证 Stripe-Signature 头的签名；验签使用未解析的原始请求体按事件 ID 去重：同一事件可能到达多次不假设顺序：状态只允许往前走（pending → paid → refunded）更新状态与记录事件 ID 放在同一事务发邮件等慢操作放进后台任务队列，回调尽快返回 2xx 退款同样以回调结果改状态，而不是以按钮是否点下

Stripe 不保证事件顺序；生产模式下回调失败会持续重试，最长约 3 天，测试模式重试次数更少。官方 SDK 验签有默认时间容差（300 秒）。以 Stripe 当前文档为准。

后台任务与上传

队列选型：Postgres 任务表（如 pg-boss）、Redis 队列（如 BullMQ）或平台队列（如 Cloudflare Queues）失败重试有上限，超过后进死信记录并告警文件上传用预签名地址直传对象存储（S3 / R2），服务器限定类型与大小，对象名用随机 ID 后台每个操作写审计记录：谁、何时、对哪条数据、做了什么

6 数据模型

核心表：users、events、registrations、payments、emails。

金额用整数存最小货币单位（amount_cents integer），另存币种时间统一存 UTC（timestamptz），显示时再换时区 UNIQUE (event_id, user_id) 从数据库层面防止重复报名支付记录保存支付服务的编号（唯一），用于对账表结构只通过迁移文件修改，迁移随代码提交，只往前走

7 认证与权限

登录用现成方案：邮箱魔法链接、第三方登录或托管认证服务每个接口在服务端检查“当前用户能不能做这件事” 按 ID 取数据时带上归属条件（防越权 / IDOR）后台接口另查角色支付、邮件、存储包一层自己的接口；测试时换成假实现

-- 有漏洞：只检查了已登录
SELECT * FROM registrations WHERE id = $1;
-- 修复：同时检查归属
SELECT * FROM registrations WHERE id = $1 AND user_id = $2;

8 环境与密钥

	本地	预发布	生产
代码	同一份
配置 / 密钥	`.env.local`	平台密钥管理（预发布）	平台密钥管理（生产）
数据	种子数据	假数据	真实数据
支付 · 邮件	测试模式	测试模式	正式模式

仓库只有 .env.example（变量名，无真实值）；.env 在 .gitignore 里每个环境一套密钥预发布与生产部署方式、数据库版本一致每次上线前在预发布完整走一遍：登录、报名、测试卡付款、收到邮件、后台退款

9 持续集成

每次提交：格式、代码规范、类型检查、单元测试、构建依赖安全审计（如 npm audit / pnpm audit）与密钥扫描（如 gitleaks）端到端测试（如 Playwright）只覆盖最关键的几条路径任一步失败不能合并合并后自动部署到预发布；生产手动提升（一个人维护时建议）

10 部署、迁移与回滚

	托管平台	自管服务器 / 容器平台
部署	连接仓库，推送即构建；每个分支 / PR 一个预览地址	流水线构建镜像 → 推到镜像仓库 → 逐个替换实例
回滚	切回上一个部署（不重新构建）	换回上一个镜像版本号

迁移在新代码启动前执行一次，放在流水线里迁移必须兼容上一个版本的代码（部署时新旧版本会共存几分钟）改表结构“先加后删”：发布 1 加列 → 发布 2 回填并改用新列 → 发布 3 删旧列在预发布演练一次回滚：部署新版本再回滚，确认数据库、缓存、后台任务正常，记下耗时

11 域名、证书与邮件

主站解析到部署平台（如 CNAME） HTTPS 证书自动签发、自动续期（托管平台代办；自管用 ACME，如 Let's Encrypt）邮件发送域名配置 SPF、DKIM、DMARC（记录由邮件服务后台给出）在国内提供服务：提前查清备案等要求并预留时间，以官方和服务商指引为准

生效日期	公开信任 TLS 证书最长有效期
2026-03-15 之前	398 天
2026-03-15 起	200 天
2027-03-15 起	100 天
2029-03-15 起	47 天

来源：CA/Browser Forum Ballot SC-081v3。Let's Encrypt 另有缩短默认有效期的计划（2028 年起默认 45 天）。

12 安全基线

密钥：不进仓库、不进日志；每个环境一套；泄露能马上换权限：数据库账号最小权限；后台入口单独保护并开启二次验证接口：所有输入校验；登录与报名接口限流；错误信息不暴露内部细节依赖：锁定版本，定期审计，升级前看变更说明数据：备份加密；只收需要的个人信息；导出文件设过期时间支付页面交给支付服务托管，不在自己的服务器上处理卡号把本清单交给 AI 代理逐条检查代码，你逐条确认结果

更完整的参考：OWASP Top 10、OWASP ASVS。

13 性能与容量

估算峰值（开放报名那一分钟），按峰值的几倍准备静态资源走 CDN；大家看同样内容的页面加缓存按查询条件建索引（如 (event_id, status)）在预发布压测（如 k6、Locust、autocannon）：看 p95 延迟、错误率、数据库连接数无服务器部署 + Postgres：用连接池（托管数据库的池化连接串、PgBouncer、Cloudflare Hyperdrive 等）

14 生产准备

数据库自动备份已打开，知道怎么恢复错误上报和监控接入生产；故意触发一次错误，确认手机收到告警一页运行手册：回滚、关闭功能、各服务后台入口、账号归谁管状态页或公告位置隐私政策、服务条款、退款规则：AI 可起草，内容由你确认，必要时请专业人士看

15 发布与上线当天

新功能放在功能开关后：先只对自己打开，确认后再放开；出问题先关开关需要时灰度：新版本先接小部分流量（如 5% → 25% → 100%，示意），看错误率上线顺序：确认备份 → 执行迁移 → 部署 → 用真实支付走一笔最小金额报名（邮件、后台、退款）→ 观察 30 分钟时间选在你有空处理问题的时候：不在周五晚上，不在开放报名前一小时

16 可观测性与告警

信号	回答的问题	工具举例
日志	每个请求做了什么	平台自带或集中日志服务
指标	多少请求、多少出错、多慢	OpenTelemetry → Grafana 等
链路追踪	请求经过了哪些服务	OpenTelemetry
错误上报	哪里抛异常、影响多少人	Sentry 等
真实用户监控	用户浏览器里页面多快	Sentry、平台 Web Analytics 等

{"ts":"2026-11-06T12:03:41.512Z","level":"error","msg":"webhook signature verification failed",
 "request_id":"req_8f3a","route":"POST /api/webhooks/stripe","registration_id":1042,
 "release":"2026.11.06-2","env":"production"}
// 不要出现：密码、令牌、完整卡号、完整手机号、邮件正文

告警（阈值为示意）	级别
报名接口 5xx > 2%，持续 5 分钟	紧急：推送到手机
已付款未入账 > 0，持续 10 分钟	紧急
p95 延迟 > 2 s，持续 10 分钟	一般：邮件，次日处理
证书剩余 < 14 天 · 磁盘快满 · DB 连接 > 80%	一般
其余	看板，定期看

17 事故处理

发现→止损→定位→恢复→复盘

阶段	案例：支付回调失败
发现	告警：已付款但报名状态未更新的数量上升
止损	确认影响范围；若由刚才的发布引起先回滚；不确定时先挂提示“付款已收到，确认邮件稍后送达”
定位	错误上报：验签失败；部署记录：生产环境变量被换成了测试模式的密钥
恢复	改回密钥；支付服务重试失败的回调，幂等处理自动补上状态；超过重试期的用对账脚本补齐
复盘	写下经过、影响、为什么没更早发现、如何防止（如启动时检测到生产使用测试密钥就拒绝启动）；不追究个人

## 发生了什么
## 影响（多少用户、多长时间）
## 时间线
## 为什么没有更早发现
## 以后怎么防止（负责人、截止日期）

18 备份与数据保留

确认备份保留期确认能否按时间点恢复（PITR）每季度恢复演练：恢复到新数据库 → 接上预发布 → 检查数据 → 记录耗时删除账号：个人信息删除或匿名化；对账所需记录按规则保留名单、导出文件的保留期写进规格，并做成定时任务执行从备份恢复后，重新执行期间的删除请求

19 成本

常见意外	办法
调试日志忘了关，日志量暴涨	日志分级；采样；保留期
大图未压缩、被盗链，带宽暴涨	压缩、CDN、防盗链
按用量计费的数据库被慢查询拖满	慢查询告警、索引
没限流的 AI 接口一夜花掉预算	按密钥设花费上限；代码里每用户每日上限

每个付费服务都设预算告警每月看一次账单构成

20 安全维护

打开代码托管平台的安全提醒和自动升级（如 Dependabot、Renovate）；严重漏洞几天内升级密钥可轮换：生成新密钥 → 新旧同时有效 → 确认新密钥在用 → 作废旧密钥每季度检查账号与权限：收回离开的合作者，删除不用的接口密钥留意异常：同一地址大量注册、反复登录失败、接口被批量调用

21 持续迭代

每个新需求回到第 1 步：故事、验收标准、更新规格，再交给代理依赖每月升级一次；机器人开 PR，流水线通过再合并改功能时同时改规格文档（写进代理说明文件）

22 AI 参与运维

可以交给 AI	必须人确认（或只给只读权限）
读告警和日志，总结发生了什么	直接修改生产数据库
写排查用的查询和脚本	接触生产密钥和权限
从错误上报定位代码，提修复 PR	账单、扩容等花钱的操作
起草复盘文档；定期检查依赖和配置	对用户发出的任何通知

实用做法：给代理一个只读的生产账号（日志 / 指标查看、数据库只读副本），没有部署、密钥、账单权限；改动走 PR → 流水线 → 人审。

23 人 · AI · 工具

	需求	开发	上线	维护
人：决定	范围 · 不做清单	数据模型 · 权限	上线时机 · 花钱	事故决策 · 对用户承诺
AI：加速	追问边界	写代码和测试	审查 · 写脚本	排查 · 起草复盘
工具：兜底	规格文档	测试 · 类型检查	流水线 · 自动部署 · 证书	监控告警 · 备份

参考

CA/Browser Forum，Ballot SC-081v3：TLS 证书有效期与数据复用期缩短
Let's Encrypt 关于缩短证书默认有效期的公告
Stripe 文档：Webhooks（签名验证、重试、事件顺序）
OWASP Top 10；OWASP Application Security Verification Standard（ASVS）

本页与视频由 AI 生成（文稿与画面：Claude；配音：Gemini TTS）。服务名只是举例；价格、配额与政策以各家和官方最新说明为准。