---
kind: PROJECT_DECISION
slug: repair-is-not-a-mode
title: Repair는 모드가 아니라 운영자가 호출하는 작업이다
topic: schema-ownership-and-capability-streams
project: clean-architecture-backend-template
status: 게시 전
sourceRevision: 21234e38cdb9a926cbc92bb97a2aee2e4a7d2916
rootTreeNode: decision:repair-is-not-a-mode
decisionStatus: ADOPTED
decidedOn: 2026-08-30
source:
  - src/adapter/outbound/persistence-jpa/src/main/resources/db/migration
  - src/adapter/outbound/persistence-jpa/src/main/java/dev/caskeleton/adapter/outbound/persistence/postgresql/PostgreSqlPersistenceConfig.java
  - analysis/05-adapter-outbound-persistence-jpa.md
---

# Repair는 모드가 아니라 운영자가 호출하는 작업이다

## 결정문

마이그레이션 이력 복구는 애플리케이션 기동 시 자동으로 수행하지 않고, 운영자가 명시적으로 호출하는 작업으로 둔다.

## 판단 이유

복구는 이력 테이블을 고치는 작업이다. 체크섬이 맞지 않거나 실패한 항목이 남아 있을 때 그것을 정리한다.

그 작업이 기동 시 자동으로 돈다면, 체크섬 불일치가 발견되는 대신 지워진다. 그리고 체크섬 불일치는 대개 누군가 이미 적용된 마이그레이션 파일을 고쳤다는 신호다.

즉 자동 복구는 알아야 할 사실을 감춘다.

그리고 복구는 되돌릴 수 없다. 이력을 고치고 나면 원래 어떤 상태였는지 알 수 없다.

그래서 운영자가 호출한다. 그 시점에 무엇이 어긋났는지 보고, 왜 어긋났는지 판단한 뒤에 실행한다.

## 영향

감수하는 것

체크섬 불일치가 생기면 기동이 실패하고 사람이 개입해야 한다. 배포가 멈춘다.

긴급 상황에서 복구 절차를 아는 사람이 필요하다.

얻는 것

이미 적용된 마이그레이션이 수정되었다는 사실이 감춰지지 않는다.

이력이 자동으로 고쳐지지 않으므로, 이력이 말하는 것과 실제가 다른 상태가 조용히 만들어지지 않는다.

## 근거

- **적용된 마이그레이션의 checksum은 그것을 돌린 모든 배포에 대한 약속이다**
  이 결정이 지키려는 규칙이다.
- **Flyway가 스키마를 소유하고 런타임 롤은 DDL 권한을 갖지 않는다**
  같은 소유 원칙의 다른 면이다.