现象或背景
上个月给订单主表 t_order（2.4 亿行、单表 118GB，InnoDB，MySQL 8.0.32）补一个二级索引 idx_status_create_time，业务侧只给了一个 20 分钟的变更窗口，且要求全程不锁写。
第一版我直接跑 ALTER TABLE ... ADD INDEX，结果变更窗口还没结束，应用侧就报了一波 Lock wait timeout exceeded，SHOW PROCESSLIST 里能看到大量 DML 卡在 update 状态。事后复盘：2.4 亿行的索引构建，原生 Online DDL 的收尾阶段（commit 阶段）要拿全局 MDL 写锁，而它前面那个「逐行回填」的 ALGORITHM=INPLACE 阶段，在 8.0 下默认还会走一次 FLUSH 式的锁协调，叠加主从复制延迟把从库 DDL 拖到了 1 分多钟——窗口直接爆掉。
原理或根因
先把 MySQL 加索引的三档算法讲清楚，这是所有取舍的基础：
- COPY：建一张新表，逐行拷数据再改名。全表读 + 全表写，大表基本不可用。
- INPLACE（Online DDL）：原地建索引结构，再回填数据。回填期间允许并发 DML，但 commit（提交）阶段必须短暂持有 MDL 独占锁——这就是「锁窗口」的由来。窗口长短取决于表大小、buffer pool 命中率和当时 DML 压力。
- INSTANT：只改元数据，秒级完成，但只支持部分列操作（如加减列、改列类型里的安全子集），加二级索引不支持 INSTANT。
关键认知：「Online」不等于「无锁」，它只是把锁压缩到收尾的一瞬间。而这一瞬间在 2.4 亿行、高 DML 的表上，可能比业务窗口还长。
具体做法
方案 A：原生 Online DDL + 限锁窗口（小表首选）
-- 关键：显式声明算法与锁级别，避免静默降级
ALTER TABLE t_order
ADD INDEX idx_status_create_time (status, create_time),
ALGORITHM=INPLACE, LOCK=NONE;
LOCK=NONE 的语义是「如果不能做到无锁，就直接报错」，这比让 DBA 肉眼盯 PROCESSLIST 安全得多。配合会话变量压低收尾风险：
SET lock_wait_timeout = 5; -- 收尾拿锁最多等 5s，拿不到就回滚 DML 而非硬等
SET innodb_lock_wait_timeout = 5;
方案 B：pt-online-schema-change（中等表、需可中断）
pt-online-schema-change \
--alter "ADD INDEX idx_status_create_time (status, create_time)" \
--chunk-size=1024 \
--chunk-time=0.5 \
--max-lag-ms=500 \
--critical-load="Threads_running>50" \
--no-drop-old-table \
D=shop_db,t=t_order,h=127.0.0.1
--max-lag-ms=500 是核心：复制延迟一旦超过 500ms 就自动降速，用「变慢」换「不拖垮从库」；--critical-load 在从库 Threads_running 飙高时直接暂停。代价是它靠触发器截获 DML，单表 QPS 上来时触发器本身会成为新瓶颈（我实测 3000 QPS 写时，pt-osc 让单条 INSERT 从 1.2ms 涨到 2.6ms）。
方案 C：gh-ost（超大表、强依赖复制、零触发器）
gh-ost 不走触发器，而是解析 binlog 的影子表回放增量，对源库侵入最小，适合 10 亿行级别。代价是它强依赖 binlog 格式（建议 ROW）和复制账号权限，部署复杂度最高。
踩过的坑 / 反直觉之处
ALGORITHM=INPLACE也会「静默降级」：如果你没加LOCK=NONE，遇到不支持的写法它会悄悄退化成 COPY 算法，你会以为在跑 Online，实际在拷全表。务必显式声明并观察返回行。- 锁窗口不在「回填」而在「commit」：很多人盯着回填进度以为快结束了，真正的锁风暴在最后一刻。用
LOCK=NONE让「做无锁做不到」时提前失败，比在收尾阶段卡死业务强。 - 主从延迟是隐形杀手：从库 DDL 通常比主库慢（从库还要承担读流量），我这次从库比主库慢了 74 秒。变更窗口要按最慢那个节点算，不是主库。
- 别在业务高峰加索引：回填阶段是 CPU + IO 密集，会和在线 DML 抢 buffer pool，P99 抖动往往发生在「还没加完」时，而不是加完那一刻。
--no-drop-old-table留后路：pt-osc 默认改完删旧表，我强制保留，万一新表有问题还能秒切回，这个保险在 2.4 亿行的表上值回票价。
结论与可复用清单
- 加二级索引没有 INSTANT，2.4 亿行级别默认走 INPLACE，锁窗口在 commit 阶段。
- 永远显式
ALGORITHM=INPLACE, LOCK=NONE，把「做无锁做不到」变成提前报错。 - 工具选型口诀：亿级以下用原生 +
LOCK=NONE；亿级、QPS 高、要可中断用 pt-osc（--max-lag-ms控速）；十亿级、零触发器诉求用 gh-ost。 - 变更窗口按最慢节点（通常是从库）估算，再乘 1.5 倍安全系数。
- 高峰避让：选低峰 + 保留旧表 + 准备好回滚脚本，这三件套比选哪个工具更重要。
一句话：Online DDL 的「Online」是营销词，真正的成本在收尾那一下锁、和从库那段延迟——把这两处算进变更窗口，才不会在 20 分钟窗口里翻车。