移行安全性レビュープロンプト

--- name: migration-safety-review description: データベーススキーママイグレーション（Rails、Django、Alembic、Prisma、Knex、Laravel、Flywayから生成された生SQLまたはORM生成）を本番リスク（テーブルロックDDL、全テーブル書き換え、データ損失、実行中のアプリコードの破損、ロールバック経路の欠如）について出荷前にレビューし、安全なゼロダウンタイム書き換えを提案します。差分またはPRがマイグレーションファイルを追加・変更する場合、ユーザーが「このマイグレーションは安全ですか？」と尋ねる場合、または繁忙なPostgreSQLやMySQLデータベースへのスキーマ変更をデプロイする前に使用します。 --- # マイグレーション安全性レビュー あなたは、本番デプロイ前に慎重なシニアDBAが行うようにスキーママイグレーションをレビューします。目標は明確な判定と具体的でより安全なSQLを提供することです - データベースに関する一般的な講義ではありません。 ## このスキル内のファイル - `scripts/scan_migration.py` - リスクのあるSQL文のための高速ヒューリスティックスキャナー - `references/risk-catalog.md` - 操作ごとの危険性と安全なパターン - `references/expand-contract.md` - 展開中に旧バージョンと新バージョンのアプリコードを機能させ続ける方法 - `templates/review-report.md` - あなたが生成しなければならないレポート形式 - `examples/example-review.md` - トーンと深さを調整するための完全なレビュー例 ## ワークフロー ### 1. 対象のマイグレーションを見つける - ブランチまたはPRをレビューする場合: `git diff --name-only origin/main...HEAD` を実行し、マイグレーションフォルダ（`migrations/`、`db/migrate/`、`alembic/versions/`、`prisma/migrations/`、`database/migrations/`、`db/migration/`）の下にあるファイルを保持します。 - それ以外の場合は、ユーザーが指摘したファイルまたはSQLを使用します。 - どのマイグレーションが新規で、どのマイグレーションが既にいずれかの環境に適用されているかに注意してください。適用済みのマイグレーションの編集を提案しないでください; 新しいフォローアップマイグレーションを提案してください。 ### 2. コンテキストを確立する 設定ファイル、docker-compose、またはユーザーへの質問から以下を判断します: - エンジンとメジャーバージョン（例: PostgreSQL 15、MySQL 8.0）。ロック動作はこれに依存します。 - 各対象テーブルのおおよそのサイズと書き込みトラフィック。 - デプロイの仕組み: マイグレーションは新しいコードの展開前、展開中、展開後のいずれに実行されますか？ サイズまたはトラフィックが不明な場合、テーブルは大規模で高トラフィックであると仮定し、その旨を明記します。 ### 3. 実際のSQLを取得する ORMコードは実際に実行される内容を隠します。まずSQLをレンダリングします: | フレームワーク | コマンド | |-----------|---------| | Django | `python manage.py sqlmigrate <app> <migration>` | | Rails | スクラッチDBで`rails db:migrate`を実行し、`db/structure.sql`の差分を検査 | | Alembic | `alembic upgrade <from>:<to> --sql` | | Prisma | `prisma/migrations/<name>/migration.sql`を読む | | Laravel | `php artisan migrate --pretend` | | Knex | スクラッチDBで`DEBUG:knex:query`を使用して実行し、ログされたSQLをコピー | | Flyway / Liquibase | `.sql`ファイルまたは`liquibase update-sql` | レンダリングされたSQLが既に`.sql`ファイルでない場合は、一時ファイルに保存します。 ### 4. スキャナーを実行する ```bash python3 scripts/scan_migration.py --dialect postgres path/to/migration.sql python3 scripts/scan_migration.py --dialect mysql db/*.sql ``` `file:line [SEVERITY] RULE message`を出力し、HIGHの検出がある場合は終了コード1で終了します。その出力を手がかりとして扱い、判定としては扱わないでください: 正規表現を使用しており、動的SQLを見逃す可能性があり、テーブルサイズを知ることはできません。 ### 5. すべての文を手動でレビューする 各文について、`references/risk-catalog.md`を使用して以下に回答します: 1. どのロックを取得し、どのくらいの期間保持しますか（即時、テーブルスキャン、または完全書き換え）？ 2. データを損失または破損する可能性がありますか？それは意図的であり、バックアップはありますか？ 3. 長時間トランザクションの背後でキューに入りますか？`lock_timeout`（Postgres）または`lock_wait_timeout`（MySQL）が設定され、全トラフィックをブロックする代わりに迅速に失敗しますか？ 4. 実行してはならないトランザクション内で実行されますか（例: `CREATE INDEX CONCURRENTLY`）？ 5. 大規模データバックフィルはバッチ処理され、DDLから分離されていますか？ ### 6. アプリケーション互換性を確認する ローリングデプロイ中、旧コードと新コードが同時に新しいスキーマに対して実行されます。`references/expand-contract.md`に従ってください: - 名前変更、削除、または型変更されたすべてのオブジェクトについて、コードベースを検索（`rg -n '<column_or_table_name>'`）し、生SQL、シリアライザー、分析クエリを含みます。 - 現在デプロイされているコードが許容できない変更をフラグ付けします。 ### 7. ロールバック経路を検証する - ダウンマイグレーションは存在し、実際に以前の状態を復元しますか？ - ドロップおよび損失を伴う型変更は一方通行です: バックアップまたは段階的計画が必要です。 ### 8. レポートを作成する `templates/review-report.md`を正確に記入します。`examples/example-review.md`の深さに合わせます。すべてのHIGHおよびMEDIUMの指摘について、同じ最終状態を安全に達成する代替SQLまたはマイグレーションコードを提供し、必要に応じて順序付けられたデプロイ手順に分割します。 ## 判定 - **SAFE** - 大規模テーブルに対するブロッキングロックなし、データ損失なし、後方互換性あり。 - **SAFE WITH CHANGES** - 記載された書き換えが適用されれば出荷可能。 - **UNSAFE** - 記載のままではダウンタイム、データ損失、または実行中コードのエラーを引き起こす。 ## ルール - 本番または共有データベースに対して自分でマイグレーションを実行しないでください。 - ユーザーが要求しない限りマイグレーションファイルを変更しないでください; レポートで変更を提案してください。 - 具体的に: テーブル名、ロック、障害モードを指定してください。一般的なアドバイスは省略してください。 - バージョン固有の動作について確信がない場合は、その旨を述べ、本番サイズのコピーで`\timing` / `EXPLAIN`とロック監視を使用したテストを提案してください。 FILE:references/risk-catalog.md # リスクカタログ: 一般的なマイグレーション操作 ロック名はPostgreSQLのものです。ACCESS EXCLUSIVEはすべての読み取りと書き込みをブロックします; SHAREは書き込みをブロックします; SHARE UPDATE EXCLUSIVEはどちらもブロックしません。 ## ロックキューの問題（以下のすべてに適用） 「即時」の`ALTER TABLE`でも、ACCESS EXCLUSIVEを短時間必要とします。長時間クエリまたはアイドルインートランザクションセッションがテーブルを保持している場合、`ALTER`は待機します - そして、すべての新しいクエリがその背後でキューに入ります。1ミリ秒の変更が数分間の障害を引き起こす可能性があります。リスクのあるマイグレーションは常に以下で開始してください: ```sql SET lock_timeout = '5s'; -- 迅速に失敗し、後で再試行 SET statement_timeout = '15min'; -- オプションの上限 ``` MySQL相当: `SET SESSION lock_wait_timeout = 5;`（メタデータロック。 ## PostgreSQL操作 | 操作 | リスク | 安全なパターン | |-----------|------|--------------| | `CREATE INDEX` | SHAREロック: ビルド全体で書き込みがブロックされる | `CREATE INDEX CONCURRENTLY`、トランザクション外; 失敗時はINVALIDインデックスをドロップして再試行。Rails: `disable_ddl_transaction!`; Django: `atomic = False` | | `DROP INDEX` | ACCESS EXCLUSIVE | `DROP INDEX CONCURRENTLY` | | `ADD COLUMN` null許容、デフォルトなし | 即時 | 安全（それでもlock_timeoutを設定） | | `ADD COLUMN ... DEFAULT <定数>` | PG 11+では即時、11より前では書き換え | 11+では安全 | | `ADD COLUMN ... DEFAULT now()/random()/gen_random_uuid()` | 揮発性デフォルト: 全テーブル書き換え | null許容カラムを追加し、バッチでバックフィルし、その後デフォルトを設定 | | `ADD COLUMN ... NOT NULL` デフォルトなし | 非空テーブルでは失敗 | null許容を追加し、バックフィルし、その後NOT NULLを適用（以下） | | `ALTER COLUMN ... SET NOT NULL` | ACCESS EXCLUSIVE下での全スキャン | `ADD CONSTRAINT c CHECK (col IS NOT NULL) NOT VALID`; `VALIDATE CONSTRAINT c`; その後`SET NOT NULL`（PG 12+ではスキャンをスキップ）; `c`をドロップ | | `ALTER COLUMN ... TYPE` | 通常はACCESS EXCLUSIVE下での全書き換え+インデックス再構築 | バイナリ強制可能な場合のみ安全（varchar(n)からより大きいnまたはtextへ）。それ以外は新カラム+二重書き込み+バックフィル+交換 | | `ADD FOREIGN KEY` | 全行を検証しながら両テーブルをロック | `ADD CONSTRAINT ... NOT VALID`、その後別ステップで`VALIDATE CONSTRAINT` | | `ADD CHECK` | ACCESS EXCLUSIVE下でのスキャン | 同じNOT VALID + VALIDATEパターン | | `ADD UNIQUE` / `ADD PRIMARY KEY` | ロック下でインデックスを構築 | `CREATE UNIQUE INDEX CONCURRENTLY idx ...`; その後`ADD CONSTRAINT ... UNIQUE USING INDEX idx` | | `RENAME COLUMN` / `RENAME TO` | 即時だが、実行中コードを破壊 | 拡張/縮小（expand-contract.md参照） | | `DROP COLUMN` | 即時だが、不可逆; 旧コードがそれを選択するとエラー | すべてのコード参照を削除し、先にデプロイ; その後ドロップ | | `DROP TABLE` / `TRUNCATE` | 不可逆なデータ損失 | バックアップとゼロリーダーを確認; 先に`_deprecated`への名前変更を検討 | | `ALTER TYPE ... ADD VALUE` | 新値は同じトランザクション内で使用不可; PG 12より前はトランザクション自体が不可 | 独自のマイグレーションに配置 | | `VACUUM FULL` / `CLUSTER` / `REINDEX` | ACCESS EXCLUSIVE下での全書き換え | `REINDEX CONCURRENTLY`（PG 12+）、ブロートには`pg_repack` | | 大規模`UPDATE` / `DELETE` | 長時間行ロック、WALスパイク、レプリカ遅延 | 主キーでバッチ処理（1k-10k行）、バッチごとにコミット、DDLマイグレーション外で実行 | ## MySQL 8.0（InnoDB）注意事項 - テーブルのコピーを黙って行う代わりにエラーとするため、常にアルゴリズムを明記: `ALTER TABLE t ADD COLUMN c INT, ALGORITHM=INSTANT;` または `ALTER TABLE t ADD INDEX i (c), ALGORITHM=INPLACE, LOCK=NONE;` - `ADD COLUMN`は8.0.12+（最後の位置）および8.0.29+（任意の位置）でINSTANT。 - `MODIFY` / `CHANGE COLUMN`型変更はALGORITHM=COPYを使用: 書き込みがブロックされます。 - 大規模テーブルでCOPYのみの変更には`gh-ost`または`pt-online-schema-change`を使用。 - DDLはMySQLではトランザクション的ではありません: 失敗した複数文マイグレーションはスキーマを半分適用したままにします。マイグレーションごとにDDL文を1つに保ちます。 FILE:references/expand-contract.md # 拡張 / 縮小: 後方互換性のあるスキーマ変更 ローリングデプロイ中、旧バージョンと新バージョンのアプリケーションが並行して実行されます。マイグレーションが新コードの稼働前に実行される場合、旧コードは新しいスキーマで動作する必要があります。稼働後に実行される場合、新コードは旧スキーマで動作する必要があります。拡張/縮小により、すべてのステップが両方と互換性を持つようにします。 ## 3つのフェーズ 1. **拡張** - 新しい構造のみを追加（カラム、テーブル、インデックス）。何も削除または名前変更されません。旧コードは追加を無視します。 2. **移行** - 新旧両方の構造に書き込むコードをデプロイし、既存行をバッチでバックフィルし、その後読み取りを新しい構造に切り替えます。 3. **縮小** - デプロイされたコードが旧構造に触れなくなったら、別の後のマイグレーションでそれをドロップします。 各フェーズは独自のデプロイです。拡張と縮小を1つのマイグレーションで決して組み合わせないでください。 ## レシピ ### カラムの名前変更（`users.name`から`users.full_name`へ） 1. マイグレーション: null許容の`full_name`を追加。 2. コード: `name`と`full_name`の両方に書き込む; `name`を読み取る。 3. バックフィル: `full_name IS NULL`の箇所で`full_name = name`をバッチで実行。 4. コード: `full_name`を読み取る; 両方への書き込みを継続。 5. コード: `name`への書き込みを停止。（Rails: ここで`name`を`ignored_columns`に追加。） 6. マイグレーション: `name`をドロップ。 ###カラム型の変更（`orders.amount` intからnumericへ） 名前変更と同じ: `amount_numeric`を追加し、二重書き込み、バックフィル、読み取り切り替え、旧をドロップ。アプリケーション変更が難しい場合はトリガーが二重書き込みを処理できます。 ###カラムをNOT NULLにする 1. コード: 常に値を書き込む。 2. バックフィル: NULL行をバッチで実行。 3. マイグレーション: CHECK ... NOT VALID, VALIDATE, SET NOT NULL（risk-catalog.md参照）。 ###カラムまたはテーブルのドロップ 1. コード: すべての読み取りと書き込みを削除（ORMモデル、生SQL、ビュー、レポート、ETLジョブ、およびデータベースを共有する他のサービスを検索）。 2. デプロイし、少なくとも1つの完全なリリースサイクル待機。 3. マイグレーション: ドロップ。重要であれば、まずデータのバックアップまたはスナップショットを取得。 ###テーブルの分割または移動 新しいテーブルを作成し、二重書き込み、バックフィル、読み取り切り替え、旧書き込み停止、ドロップ。 ##各変更に対して回答すべき互換性の質問 - デプロイされたコードが`SELECT *`または全カラムのマッピングを行っていますか（ORMは起動時にカラムリストをキャッシュし、1つ消えると失敗することが多い）？ - 新カラムがNOT NULLでデフォルトなしの場合、旧コードからの挿入は失敗しますか？ - 他のサービス、cronジョブ、BIダッシュボード、またはレプリカがこのテーブルを読み取りますか？ - ダウンマイグレーションなしでデプロイを以前のコードバージョンにロールバックできますか？ 最後の質問への回答が「いいえ」の場合、その変更は後方互換性がありません。 FILE:templates/review-report.md # マイグレーション安全性レビュー: <マイグレーション名またはPRタイトル> **判定:** SAFE | SAFE WITH CHANGES | UNSAFE **エンジン:** <例: PostgreSQL 15> | **レビュー対象ファイル:** <数> **前提:** <テーブルサイズ、トラフィック、デプロイ順序 - 推測したものにマーク> ##概要 <2〜4文: マイグレーションが行うこと、最大のリスク、変更すべきこと。> ##指摘事項 | # | 重大度 | ファイル:行 | 文 | リスク | |---|----------|-----------|-----------|------| | 1 | HIGH | <path:line> | `<短いSQL>` | <ロック / データ損失 / 旧コードの破損> | ### 1. <指摘の短いタイトル> - **何が起こるか:** <取得されるロック、期間、誰がブロックされるか、または何が壊れるか> - **ここで重要な理由:** <テーブルサイズ、トラフィック、依存するコード> - **安全な代替案:** ```sql -- 置換SQLまたはマイグレーションコード、実行順 ``` <各HIGHおよびMEDIUMの指摘について繰り返します。LOWの指摘は1つのリストにまとめます。> ##アプリケーション互換性 - <名前変更 / 削除 / 型変更された各オブジェクトと、コードがまだ使用している箇所> - <または: 「影響を受けるコード参照なし - X、Yについてrgで確認済み。」> ##ロールバック計画 - <ダウンマイグレーションは状態を復元しますか？何が不可逆ですか？> - <実行前に必要なバックアップまたはスナップショット: はい/いいえ> ##推奨デプロイ順序 1. <マイグレーションまたはコードデプロイ手順> 2. <...> ##スキャナー出力 ``` <scripts/scan_migration.pyの出力を貼り付け、または誤検知に言及> ``` FILE:examples/example-review.md # レビュー例 **入力:** PR「注文ステータス追跡を追加」、PostgreSQL 15用のRailsマイグレーション1つ。`orders`は約4000万行あり、常時書き込みを受けています。マイグレーションは新コードの前に実行されます。 ```sql -- db/migrate/20261002_add_status_to_orders.rbからレンダリング ALTER TABLE orders ADD COLUMN status varchar NOT NULL DEFAULT 'pending'; ALTER TABLE orders RENAME COLUMN shipped_on TO shipped_at; CREATE INDEX index_orders_on_status ON orders (status); ALTER TABLE orders ADD CONSTRAINT fk_orders_carrier FOREIGN KEY (carrier_id) REFERENCES carriers (id); ``` **スキャナー:** 3 HIGH（名前変更、インデックス非コンカレント、FK検証済み）、1 MEDIUM（ロックタイムアウトなし）。 --- # マイグレーション安全性レビュー: 注文ステータス追跡を追加 **判定:** UNSAFE **エンジン:** PostgreSQL 15 | **レビュー対象ファイル:** 1 **前提:** orders約4000万行、高書き込みトラフィック（ユーザーから）; carriersは小規模。 ##概要 注文ステータスカラムを追加し、`shipped_on`を名前変更し、ステータスにインデックスを付け、キャリア外部キーを追加します。ステータスカラム自体はPG 15では安全ですが、名前変更は実行中アプリを破壊し、インデックスとFKは`orders`への書き込みを数分間ブロックします。3つのマイグレーションに分割し、コンカレント / NOT VALIDバリアントを使用してください。 ##指摘事項 | # | 重大度 | ファイル:行 |文 |リスク | |---|----------|-----------|-----------|------| | 1 | HIGH | rendered.sql:3 | `RENAME COLUMN shipped_on` | 旧コードがデプロイ時にエラー | | 2 | HIGH | rendered.sql:4 | `CREATE INDEX ... (status)` | ビルド中に書き込みがブロック | | 3 | HIGH | rendered.sql:5 | `ADD ... FOREIGN KEY` | ロック下での全検証スキャン | | 4 | MEDIUM | rendered.sql:1 | `lock_timeout`なし | ALTERがキューに入り、トラフィックを停滞させる可能性 | ### 1. カラム名前変更が実行中コードを破壊 - **何が起こるか:** 名前変更は即時ですが、まだ旧リリースのアプリサーバーが`shipped_on`をクエリし、デプロイが完了するまで`column does not exist`で失敗します。 - **ここで重要な理由:** `rg -n shipped_on`は7つの参照を見つけます。`app/serializers/order_serializer.rb`と夜間の`reports/fulfillment.sql`を含みます。 - **安全な代替案:** 拡張/縮小。`shipped_at`を追加し、二重書き込み、バッチでバックフィル、読み取り切り替え、その後後のリリースで`shipped_on`をドロップ。 ### 2. インデックスビルドが書き込みをブロック - **安全な代替案**（別マイグレーション、`disable_ddl_transaction!`）: ```sql CREATE INDEX CONCURRENTLY index_orders_on_status ON orders (status); ``` ### 3. 外部キーがロック下で4000万行を検証 - **安全な代替案:** ```sql SET lock_timeout = '5s'; ALTER TABLE orders ADD CONSTRAINT fk_orders_carrier FOREIGN KEY (carrier_id) REFERENCES carriers (id) NOT VALID; -- 次のマイグレーション（ordersに対してSHARE UPDATE EXCLUSIVEのみ取得）: ALTER TABLE orders VALIDATE CONSTRAINT fk_orders_carrier; ``` **LOW:** なし。`ADD COLUMN ... DEFAULT 'pending'`はPG 11+ではメタデータのみであることに注意。 ##アプリケーション互換性 - `shipped_on`: 7つのコード参照と1つのSQLレポート; 縮小フェーズまで残す必要あり。 ##ロールバック計画 - ダウンマイグレーションは`status`をドロップ（データ損失は許容: 新カラム）。名前変更は可逆。 - 名前変更が削除されれば、この変更セットにバックアップは不要。 ##推奨デプロイ順序 1. マイグレーションA: `SET lock_timeout`; `status`を追加; `shipped_at`を追加; FK NOT VALIDを追加。 2. マイグレーションB（トランザクションなし）: ステータスインデックスをコンカレントに作成。 3. マイグレーションC: FKを検証。`shipped_on`/`shipped_at`に二重書き込みするコードをデプロイ。 4. `shipped_at`をバックフィル; 読み取りを切り替え; 後のリリースで`shipped_on`をドロップ。 FILE:scripts/scan_migration.py #!/usr/bin/env python3 """マイグレーションファイル内のリスクのあるSQLのためのヒューリスティックスキャナー（PostgreSQL / MySQL）。 使用方法: python3 scan_migration.py [--dialect postgres|mysql] FILE [FILE ...] 終了コード: 0 = HIGHの指摘なし、1 = HIGHの指摘あり、2 = 使用方法エラー。""" import re, sys F = re.I | re.S COLDEF = r"(?:\([^)]*\)|[^,(])*" # 1つのカラム定義、numeric(10,2)を許容 RULES = [ # (重大度、ルールID、方言または両方にNone、正規表現、メッセージ) ("HIGH", "drop-table", None, r"^DROP\s+TABLE\b", "不可逆なデータ損失; バックアップとリーダーなしを確認"), ("HIGH", "truncate", None, r"^TRUNCATE\b", "不可逆なデータ損失"), ("HIGH", "drop-column", None, r"^ALTER\s+TABLE\b.*\bDROP\s+(COLUMN\b|(?!CONSTRAINT|INDEX|KEY|PRIMARY|FOREIGN|CHECK|DEFAULT|NOT|IDENTITY|EXPRESSION)\w)", "データ損失; それを読み取るデプロイ済みコードが失敗 - 先にコード参照を削除"), ("HIGH", "rename", None, r"^ALTER\s+TABLE\b.*\bRENAME\b", "実行中コードを破壊; 拡張/縮小を使用"), ("HIGH", "type-change", "postgres", r"^ALTER\s+TABLE\b.*\bALTER\s+(COLUMN\s+)?\S+\s+(SET\s+DATA\s+)?TYPE\b", "通常はACCESS EXCLUSIVE下での全テーブル書き換え"), ("HIGH", "type-change", "mysql", r"^ALTER\s+TABLE\b.*\b(MODIFY|CHANGE)\s+(COLUMN\s+)?\S+", "カラム再定義は通常ALGORITHM=COPYを使用（書き込みがブロック）"), ("HIGH", "index-not-concurrent", "postgres", r"^CREATE\s+(UNIQUE\s+)?INDEX\s+(?!CONCURRENTLY)", "ビルド中に書き込みをブロック; CREATE INDEX CONCURRENTLYを使用"), ("MEDIUM", "drop-index-not-concurrent", "postgres", r"^DROP\s+INDEX\s+(?!CONCURRENTLY)", "ACCESS EXCLUSIVEを取得; DROP INDEX CONCURRENTLYを使用"), ("HIGH", "fk-validated", "postgres", r"^ALTER\s+TABLE\b(?!.*\bNOT\s+VALID\b).*\b(FOREIGN\s+KEY|REFERENCES)\b", "両テーブルをロックしながら全行を検証; NOT VALIDを追加し、その後VALIDATE"), ("MEDIUM", "check-validated", "postgres", r"^ALTER\s+TABLE\b(?!.*\bNOT\s+VALID\b).*\bADD\s+(CONSTRAINT\s+\S+\s+)?CHECK\b", "ロック下での全スキャン; NOT VALIDを追加し、その後VALIDATE"), ("MEDIUM", "set-not-null", "postgres", r"\bSET\s+NOT\s+NULL\b", "ACCESS EXCLUSIVE下での全スキャン; 先にCHECK（col IS NOT NULL）を検証"), ("HIGH", "add-not-null-no-default", None, r"^ALTER\s+TABLE\b.*\bADD\s+(COLUMN\s+)?(?!" + COLDEF + r"\bDEFAULT\b)" + COLDEF + r"\bNOT\s+NULL\b", "非空テーブルで失敗（または旧コード挿入が失敗）; null許容を追加し、バックフィルし、その後適用"), ("MEDIUM", "volatile-default", "postgres", r"^ALTER\s+TABLE\b.*\bADD\b.*\bDEFAULT\s+(now|random|clock_timestamp|gen_random_uuid|uuid_generate_v\d)\s*\(", "揮発性デフォルトはテーブルを書き換え; null許容を追加し、バックフィルし、その後デフォルトを設定"), ("MEDIUM", "unique-without-index", "postgres", r"^ALTER\s+TABLE\b(?!.*\bUSING\s+INDEX\b).*\bADD\s+(CONSTRAINT\s+\S+\s+)?(UNIQUE|PRIMARY\s+KEY)\b", "ロック下でインデックスを構築; CONCURRENTLYで作成し、その後ADD CONSTRAINT ... USING INDEX"), ("MEDIUM", "mysql-no-algorithm", "mysql", r"^(ALTER\s+TABLE|CREATE\s+(UNIQUE\s+)?INDEX)\b(?!.*\bALGORITHM\s*=)", "ALGORITHM=INSTANT|INPLACE, LOCK=NONEを明記し、MySQLがブロッキングコピーを拒否するように"), ("HIGH", "dml-no-where", None, r"^(UPDATE|DELETE)\b(?!.*\bWHERE\b)", "1つのトランザクションで全行に触れる; バッチ処理"), ("LOW", "dml-in-migration", None, r"^(UPDATE|DELETE|INSERT)\b.*\bWHERE\b", "マイグレーション内のデータ変更; テーブルが大規模ならバッチ処理"), ("MEDIUM", "table-rewrite", "postgres", r"^(VACUUM\s+FULL|CLUSTER|REINDEX\s+(?!.*CONCURRENTLY))", "ACCESS EXCLUSIVE下で書き換え; REINDEX CONCURRENTLYまたはpg_repackを使用"), ("LOW", "enum-add-value", "postgres", r"^ALTER\s+TYPE\b.*\bADD\s+VALUE\b", "新値は同じトランザクション内で使用不可; 独自のマイグレーションに保持"), ] def statements(sql): """コメント除去後、（行番号、文）を生成。素朴な';'分割。""" sql = re.sub(r"/\*.*?\*/", lambda m: re.sub(r"[^\n]", " ", m.group()), sql, flags=re.S) sql = re.sub(r"--[^\n]*", "", sql) pos = 0 for part in sql.split(";"): stripped = part.lstrip() line = sql.count("\n", 0, pos + len(part) - len(stripped)) + 1 pos += len(part) + 1 if stripped.strip(): yield line, " ".join(stripped.split()) def scan(path, dialect): text = open(path, encoding="utf-8", errors="replace").read() stmts, out = list(statements(text)), [] for line, st in stmts: for sev, rid, dia, rx, msg in RULES: if (dia is None or dia == dialect) and re.search(rx, st, F): out.append((sev, f"{path}:{line} [{sev}] {rid}: {msg}\n > {st[:110]}")) has_ddl = any(re.match(r"(ALTER|CREATE\s+(UNIQUE\s+)?INDEX|DROP)\b", s, re.I) for _, s in stmts) timeout = "lock_timeout" if dialect == "postgres" else "lock_wait_timeout" if has_ddl and timeout not in text.lower(): out.append(("MEDIUM", f"{path}:1 [MEDIUM] no-lock-timeout: DDL without {timeout}; it may queue and block all traffic")) if re.search(r"\bCONCURRENTLY\b", text, re.I) and re.search(r"^\s*(BEGIN|START\s+TRANSACTION)\b", text, re.I | re.M): out.append(("HIGH", f"{path}:1 [HIGH] concurrently-in-transaction: CONCURRENTLY cannot run inside a transaction block")) return out def main(argv): dialect = "postgres" if len(argv) >= 2 and argv[0] == "--dialect": dialect, argv = argv[1].lower(), argv[2:] if dialect not in ("postgres", "mysql") or not argv: print(__doc__, file=sys.stderr) return 2 try: findings = [f for p in argv for f in scan(p, dialect)] except OSError as e: print(f"error: {e}", file=sys.stderr) return 2 for _, text in findings: print(text) counts = {s: sum(1 for f in findings if f[0] == s) for s in ("HIGH", "MEDIUM", "LOW")} print(f"\n{len(argv)} file(s) scanned: {counts['HIGH']} HIGH, {counts['MEDIUM']} MEDIUM, {counts['LOW']} LOW") print("Heuristic only: confirm each finding against references/risk-catalog.md.") return 1 if counts["HIGH"] else 0 if __name__ == "__main__": sys.exit(main(sys.argv[1:]))))