标准答案
- 发布前校验格式、类型、取值范围、依赖关系和目标环境，避免无效配置被直接下发。
- 灰度发布应支持按实例、地域、租户或流量比例生效，并在每个阶段观察错误率、延迟和业务指标。
- 每次变更都需要记录操作者、时间、差异、原因和关联工单，便于回溯和审计。
- 配置版本必须可快速回滚；临时开关和应急参数还应有明确过期时间、负责人和清理提醒。
题目解析
配置变更往往绕过正常代码发布，因此风险并不比上线低。缺少校验和灰度时，一个错误超时或连接地址可以同时影响全部实例。
观测不是发布后的附属动作。必须在发布设计里预先定义看什么指标、异常阈值是什么、谁有权限暂停或回退。
常见误区
- 只保存配置当前值，不保存版本和变更差异。
- 先全量生效再观察，导致错误配置瞬间扩散。
- 应急开关长期遗留，最终没人知道它是否仍影响业务。