升级MongoDB 4.0前必须确认：①部署为副本集或分片集群，单机不支持事务；②存储引擎必须为WiredTiger；③所有事务集合须预先创建，驱动版本需达标。
升级前必须确认的三个兼容性前提
MongoDB 4.0带来的多文档事务能力，确实是个重磅特性，但并非所有部署环境都能直接享用。这里有个硬性前提：事务功能仅在副本集或分片集群架构下可用，传统的单节点模式是无缘的。如果你的开发环境还是单机模式，那么第一步，就得通过mongod --replSet rs0这样的命令启动并初始化一个副本集，这是绕不开的硬性步骤。
除了架构要求，还有几个关键点必须逐一核对：
- 存储引擎必须是WiredTiger：需要在配置中将
storage.engine设置为wiredTiger。旧的MMAPv1引擎不仅已被弃用，更关键的是它完全不支持事务。 - 集合必须预先存在：所有计划在事务中操作的集合，都必须提前创建好。别指望在事务块里临时执行
db.createCollection()，这条路行不通。 - 驱动版本要达标：客户端的驱动程序版本必须跟上。例如，Node.js环境需要
mongodb驱动版本在3.2.0以上，Python则需要pymongo达到3.8.0或更高版本。
升级前，不妨运行几个命令做个快速体检：用db.serverStatus().storageEngine.name确认存储引擎是“wiredTiger”；再用rs.status().members检查副本集成员状态，确保至少有三个健康节点（或者满足一主两副本的最小可用集）。确认无误，才能继续下一步。
模型字段变更如何与事务逻辑解耦
事务本身并不改变数据模型的定义，但很多团队在升级模型时，容易陷入一个误区：误把“字段增减”这类结构变更操作，也一股脑儿塞进事务块里执行。这其实混淆了两种不同的逻辑。
事务的核心是保证一系列操作的原子性，它并不负责数据迁移或结构变更。举个例子，假设你需要给users集合新增一个last_login_at字段，正确的做法应该是：
- 第一步，控制数据写入：根据业务的容忍度，先暂停写入或切换读写流量。
- 第二步，执行批量更新（非事务）：使用类似
db.users.updateMany({}, {$set: {last_login_at: null}})的语句，为所有现有文档补上默认值。请注意，这个批量操作本身不应该包裹在事务内。 - 第三步，上线应用层逻辑：部署新的应用代码，后续的写入操作由应用来控制该字段的赋值。
- 第四步，处理历史数据（如需强一致性）：如果某些历史记录需要以强一致的方式补充精确值（比如补填过去的登录时间），这时才轮到事务出场。你可以用事务包装单条更新，确保相关操作要么全成功，要么全失败。
session.startTransaction();
db.users.updateOne({ _id: ObjectId("...") }, { $set: { last_login_at: new Date() } }, { session });
db.logins.insertOne({ user_id: "...", at: new Date() }, { session });
session.commitTransaction();
这里的关键在于，要把“数据模型变更”和“事务性数据操作”看作两层独立的事情。强行混在一起，很可能导致事务执行超时，或者锁表时间变得难以预测和控制。
事务超时与锁行为的实际影响
MongoDB 4.0为事务设置了一个默认60秒的超时限制（可通过transactionLifetimeLimitSeconds参数调整）。但比起超时，一个更隐蔽、也更容易引发性能问题的是写锁的粒度。
在事务中，任何一个写操作都会持有文档级别的锁。如果这个事务包含了多个跨不同分片键的updateOne操作（在分片集群环境下），或者匹配了大量文档的updateMany，就很可能引发锁等待，甚至直接导致死锁。
为了避免踩坑，有几个实践原则值得注意：
- 避免无索引查询：尽量不要在事务内使用没有索引的字段作为查询条件。全集合扫描会锁住更多文档，大幅增加冲突风险。
- 事务内避免耗时操作：切忌在事务块里调用外部HTTP接口或执行长时间的计算任务。一旦事务超时被自动中止，那些已经执行的非事务性写入操作是不会回滚的，因为WiredTiger的事务日志并不覆盖非事务操作。
- 分片集群的事务限制：在分片集群中使用事务，务必确保事务内的所有操作都落在同一个分片上，即它们必须共享相同的分片键。否则，事务会直接失败，并报错提示：“分片集群中的多文档事务要求所有操作必须在同一分片上”。
这意味着，如果你原有的应用逻辑习惯“先查询、再计算、最后修改”的三步走模式，在升级到4.0并引入事务后，就需要重构为“在会话中查询 → 在会话中修改”的模式，中间不能再穿插任何非事务性的操作。
降级风险与回滚边界在哪里
必须清醒地认识到一点：MongoDB不支持直接的“版本回退”。一旦从4.0降级到3.6，很可能会导致数据文件无法读取，因为4.0版本使用的WiredTiger存储引擎，其内部元数据格式已经发生了变更。所谓的“平滑升级”，本质上是一个不可逆的单向演进过程。
因此，升级前的准备工作至关重要：
- 完备且可验证的备份：升级前必须完成全量备份，并且最好用
mongorestore --noIndexRestore等方式实际验证备份的恢复速度和完整性。 - 语法兼容性风险：如果在4.0中使用了新增的聚合管道语法（例如
$lookup配合let和pipeline），那么降级后，这些查询语句会直接报错，提示“无法识别的字段‘let’”。 - 驱动层静默陷阱：一个极易被忽略的风险点在驱动层。即使服务端没有升级，只要应用代码开始使用
withTransaction()这类新方法，而客户端驱动还是旧版本，那么驱动可能会静默地忽略事务上下文，导致操作退化成普通的非事务操作。表面上看程序运行正常，实则完全丧失了一致性保障。
总而言之，别指望用“先小流量灰度，再全量放开”的策略来为事务逻辑兜底。事务提供的原子性和隔离性一旦缺失，所产生的错误往往是静默的，并且事后极难追溯和排查。
