用功能开关控制新功能上线，出问题直接关掉

新功能包在开关后面，默认关闭，代码可以照常部署，打开开关才真正对外生效。

开关要有默认值和变更日志，谁在什么时候改的能查得到，否则线上出问题说不清楚。

全量稳定后一到两周内把开关和旧分支清掉，长期留着的开关本身就是技术债。

if (featureFlags.isOn('new-checkout', userId)) {
  return newCheckout(order);
}
return legacyCheckout(order);