回答編集履歴

- 自動ロールバックって一見安全装置なんですが、今回のような「ロールバック処理自体のバグでDBが壊れる」という事例を見ると、安全装置そのものが新たな障害要因になり得るんだなと思いました。ロールバック処理は普段ほとんど実行されないのでテストも薄くなりがちですし、動くのは一番クリティカルなタイミングなんですよね。

- Prismaがdown migrationをサポートしないのも、「downが本当にupの逆操作とは限らない」「データ変更には不可逆なものがある」という理由だったと認識しています。なので、expand and contractのように「ロールバックが不要な設計」を目指す考え方は理にかなっているのかなと。