近日，某企业在进行核心业务系统升级测试时发现一个令人警惕的技术问题：在一段采用外层事务方法调用的代码中，先后通过Oracle存储过程执行两次内部数据库写入操作，当第二个内部写入因数据冲突抛出异常后，第一个内部写入并未按预期回滚。这一异常现象直接威胁到数据一致性，尤其在金融、电商等对事务完整性要求极高的场景中，可能导致严重的业务数据错误。
问题场景再现
开发团队描述，典型业务流程如下：外层方法使用Spring事务注解（@Transactional）管理事务边界，方法体内先后调用两个独立的内部方法。第一个内部方法通过调用Oracle存储过程（SP）向主表A插入一条业务记录；第二个内部方法同样通过Oracle存储过程向关联表B更新数据，但此步骤因违反唯一约束而抛出ORA-00001异常。预期的行为是，由于外层事务被标记为回滚，第一个插入操作也应自动回滚。然而实测发现，表A中已经保留了该条记录，数据库事务并未完全撤销。
技术原因剖析
经技术团队定位，问题根因集中于以下两个方面。
第一，Oracle存储过程的事务隔离性。 Oracle存储过程默认会在自身内部开启独立的事务控制。如果存储过程内使用了隐式提交（如DDL语句）或显式提交（COMMIT），那么该存储过程执行结束后，数据变更会被立即持久化，脱离外层事务的管理范围。即使外层方法后续抛出异常，这部分写入也无法回滚。在本案例中，第一个存储过程可能包含一个自动提交的触发器或误用了COMMIT命令。
第二，事务传播行为配置不当。 Spring框架中，@Transactional注解的propagation属性默认值为REQUIRED，意为加入当前事务。但如果调用存储过程的方法被标记为REQUIRES_NEW或NESTED，则每个存储过程会创建独立的事务子空间。当第二个子事务失败时，第一个子事务如果已被提交（或处于不同分支），则无法被整体回滚。尤其是在使用REQUIRES_NEW时，第一个存储过程的事务会先行提交，异常发生时已“木已成舟”。
第三，异常捕获与回滚标记的延迟。 若外层方法内使用了try-catch块捕获了第二个存储过程的异常，但未再次抛出RuntimeException或设置TransactionAspectSupport.currentTransactionStatus().setRollbackOnly()，则Spring事务管理器可能认为异常已被处理，不会触发全局回滚。此时第一个存储过程写入的数据便安然“幸存”。
影响与风险
这一问题在实际生产环境中的后果不容小觑。首先，数据不一致会直接破坏业务逻辑的完整性，例如订单系统中，已扣减的库存记录无法撤销，但后续的支付记录却失败，导致用户抱怨“没付钱却少了货”。其次，排查此类Bug极其困难，因为错误仅在特定数据冲突条件下偶发，传统日志难以精确定位。再者，Oracle存储过程往往是遗留系统的核心组件，修改其内部事务逻辑涉及范围广、风险高，不少团队倾向于隐藏问题而非彻底解决。
修复建议与最佳实践
针对该技术隐患，专家给出了以下清晰的修复路径：
-
检查存储过程内部的事务控制。确保所有Oracle存储过程均不包含显式
COMMIT或ROLLBACK语句。若必须使用DDL操作，需重构业务流程，将其挪至外层事务之外，或改用自主事务（Autonomous Transactions）但明确隔离边界。 -
统一事务传播策略。所有内部数据库操作应使用默认的
REQUIRED传播行为，避免无意中开启新事务。如需嵌套事务，建议使用NESTED（基于保存点）而非REQUIRES_NEW，并确保数据库支持保存点机制（Oracle完全支持）。 -
完善异常处理逻辑。外层方法中不要吞没事务性异常，应让异常自然抛出至事务管理器。若必须捕获处理，务必在
catch块中显式调用TransactionAspectSupport.currentTransactionStatus().setRollbackOnly()，并重新抛出一个RuntimeException。 -
强化测试覆盖。编写集成测试用例，模拟第二个写入失败的各种场景，验证第一个写入是否准确回滚。建议使用H2或嵌入式Oracle数据库进行自动化测试，将事务边界测试列入回归流程。
结语
一次不起眼的“未回滚”事件，折射出分布式事务管理中“局部提交全局不回滚”的经典陷阱。随着微服务与模块化架构的普及，事务边界越发复杂，每个开发人员都需要清醒认识到：存储过程不是黑盒，事务传播不是儿戏。唯有从设计层面规范事务控制行为，配合全面的异常测试，才能避免数据“幽灵记录”暗中生长，保障系统的长期稳定运行。