#573 的修复方式是恢复时校验实际 schema head 与清单是否一致，不匹配则拒绝执行。