共享测试环境的数据污染：我们用 schema 隔离 + 事务回滚把回归失败率从 23% 压到 1.7%

一、现象与背景：同一个 bug，今天能复现明天就不行

先摆数字。2024 年 Q3，我们团队（8 人，负责一条支付清算链路）的夜间回归套件是 860 个接口用例，跑在 3 人共享的 staging 环境上。三个月里：

• 回归失败率长期在 15%–28% 之间波动，均值 23%；
• 每次回归平均需要 11 分钟 排查「是真 bug 还是数据被改了」，其中 9 分钟以上用于查数据；
• 开发同学平均每周 3.2 次 在共享库里手工改数据做调试，事后不恢复；
• 最典型的事故：一个「重复退款」用例连续 3 晚失败，第 4 晚突然通过——最后定位是某位同事前一天往 refund_record 表插了一条测试退款单，让幂等校验提前命中。

影响不止是噪音。真正的问题在于：我们开始不敢信回归结果。失败率超过 20% 之后，团队的实际行为是「跑挂了就重跑，重跑过了就当没事」。这等于质量门禁形同虚设。

二、根因分析：共享环境的数据污染有四个机制

把三个月的失败用例逐条归因后，污染来源收敛为四类：

1. 写后不还原。手工调试或临时脚本直接 UPDATE/INSERT 共享库，状态被「钉死」在中间态。比如把一笔订单改成 PAID 去调退款接口，改完没改回去，后续所有依赖该订单为 PENDING 的用例全部失败。
2. 隐式顺序依赖。A 用例造的数据被 B 用例当输入消费。单独跑 B 能过，全量跑且顺序变化就挂。这类占失败归因的 41%，是最阴险的一类，因为它「看起来像并发问题」。
3. 时间敏感断言。断言里写死「当前时间 + 2 小时内」之类的相对窗口，跨天、跨整点执行时漂移。占比约 12%。
4. 多环境串号。测试同学把 staging 的 token / 商户号带到 uat 环境重放，两边库互相引用，出现「A 环境的订单在 B 环境查不到」。

机制上讲，这本质是测试用例之间共享了一个可变的外部状态（数据库 + 缓存 + 消息队列）。用例的可重复性 = f(自身输入, 外部状态)，外部状态不可控，用例就不可重复。治理方向只有两条：让外部状态隔离，或者让外部状态可回滚。

三、具体做法：三层隔离 + 一条纪律

1. 库级隔离：一环境一 schema，禁止跨 schema 查询

我们把共享的 staging 单库拆成按角色划分的 schema（PostgreSQL 15）：

CREATE SCHEMA qa_pay;      -- 回归套件专用
CREATE SCHEMA qa_settle;   -- 结算链路专用
CREATE SCHEMA dev_debug;   -- 开发手工调试专用

-- 各角色只授权自己的 schema
REVOKE ALL ON SCHEMA public FROM qa_runner;
GRANT USAGE, CREATE ON SCHEMA qa_pay TO qa_runner;
GRANT SELECT, INSERT, UPDATE, DELETE ON ALL TABLES IN SCHEMA qa_pay TO qa_runner;

关键点：开发调试和自动化回归物理上不再碰同一张表。手工改数据只能改 dev_debug，改坏了影响面是零。这一步上线当周，「数据被改」类失败直接从 30%+ 降到 5%。

2. 用例级隔离：事务回滚 + 唯一数据指纹

回归框架（JUnit 5 + Spring Test）里给每个用例包一个事务，跑完回滚：

@Transactional
class RefundTest {
  @Test
  void duplicateRefundShouldBeRejected() {
    Order order = orderFactory.create();   // 用例内自造数据，带唯一指纹
    ...
  }
}

配合数据工厂，每条造出来的记录强制带一个 test_fingerprint 字段（32 位 UUID 前 16 位），禁止任何用例用「查第一条记录」这种写法拿数据——谁查谁负责，数据必须是自己造的。

3. 时间隔离：统一时钟接口，禁读系统时间

所有时间判断收敛到一个 ClockProvider，测试里注入固定时钟：

@Bean
ClockProvider clock() {
  return () -> Instant.parse("2025-01-15T08:00:00Z"); // 固定锚点
}

业务代码里禁止直接 LocalDateTime.now()（加了 ArchUnit 规则拦截，编译期报错）。时间类失败从此归零。

4. 一条纪律：回归窗口内冻结共享环境

每周一 22:00–00:30 是回归窗口，这个窗口内 staging 的写权限只发给 CI 账号，人的账号只读。这条没有技术含量，但贡献了约 30% 的失败率下降——很多污染是「人顺手改的」。

四、踩过的坑与反直觉之处

1. @Transactional 回滚救不了跨服务场景。我们的结算走独立服务，事务回滚只回滚本地库，消息队列里已经发出去的 RefundEvent 回不滚。第一次上线后 20 个用例挂了，最后给测试环境的消息 topic 单独建了 qa_ 前缀的隔离 topic 才解决。教训：隔离粒度要跟着「状态的所有副本」走，不止是数据库。
2. schema 隔离初期性能反而降了。共享索引没了，860 个用例总耗时从 4 分钟涨到 5.8 分钟。我们接受了这个代价——多花 1.8 分钟换结果可信，是划算的。
3. 数据工厂写多了比硬编码更难维护。第一版工厂有 14 个方法，两个方法造出来的订单字段不一致，埋了两周的暗坑。后来收敛成「一个基础工厂 + 显式 override 链」，方法数砍到 5 个，问题消失。
4. 最反直觉的一点：治理两个月后，失败率 1.7%，但团队反而多报了 4 个真 bug——原来这些 bug 一直存在，只是被数据噪音掩盖着，失败太多没人敢信。

五、结论与可复用清单

共享测试环境的数据污染不是「纪律问题」，是架构问题：只要用例和手工调试共享可变状态，污染必然发生。治理顺序建议按投入产出排：

1. 先做环境/ schema 级隔离（成本最低、收益最大，我们一周见效）；
2. 再做用例级自造数据 + 回滚（需要框架改造，1–2 周）；
3. 时间类断言统一走可注入时钟（半天）；
4. 回归窗口冻结共享环境（一条制度，零成本）；
5. 消息 / 缓存 / 文件等状态副本逐一排查隔离（最容易被漏，最阴险）。

可复用清单（可直接抄）：

• [ ] 回归专用 schema + 最小授权，CI 账号与人账号分离
• [ ] 数据工厂统一入口，记录强制带 test_fingerprint
• [ ] 用例内自造数据，禁止「查第一条」式取数
• [ ] 业务代码禁直接读系统时间，ArchUnit 拦截
• [ ] 消息 topic / 缓存 key 加环境前缀
• [ ] 回归窗口内共享环境只读

一句话总结：让每个用例只依赖自己造的数据，结果才可信；结果可信，质量门禁才有意义。