GCS：生命周期、恢复与故障推演

软删除恢复、生命周期与条件失败

生命周期和保护策略

GCS 生命周期基于对象年龄、noncurrent 状态等条件执行转换或删除，规则不是精确到秒的业务定时器。Object Versioning、soft delete、retention policy 和对象保留各有职责；版本保留不保证永不删除，软删除不保证无期限恢复，保留策略可能阻止当前删除。普通列表只反映一种可见状态，不能证明历史容量已清空。实际软删除保留期限必须读取桶配置，不能将文档中的默认值当作既有桶事实。官方生命周期是检查入口。

GCS 成本评估应包括旧 generation、soft-deleted 对象、最低存储时长、类别检索费用和位置间传输。切换存储类别不意味着立即降低总费用；例如频繁读取的冷数据类别可能产生额外检索成本。示例没有写生命周期配置，也没有修改保护策略。

按状态制定恢复路径

GCS 恢复先列明 bucket、name、generation、是否 live、是否 noncurrent 或 soft-deleted，以及保留截止时间。若旧 generation 仍可读，先下载到独立路径并验证业务摘要，再按条件复制为新 live 版本；复制目标也要前提条件，避免恢复任务覆盖业务刚发布的新内容。若是 soft-deleted 状态，则需使用对应恢复能力并核对权限与有效期；不应把普通 GET 失败当作数据彻底丢失。

恢复成功应记录新的 generation，并更新应用数据库的对象引用。旧 generation 的可读性和应用当前指针是两套状态，客户端看到 200 并不代表业务已恢复。纸面演练可构造“恢复者读到不存在→发布者创建新内容→恢复者写回旧内容”序列，参考答案是恢复写带 if_generation_match=0 或经批准的目标 generation，冲突就停止并重新评估。

412 与鉴权排错

GCS 412 Precondition Failed 表示前提条件与服务端状态冲突，优先核对 generation 与 metageneration，而非立即换凭据。把旧 Blob 属性当实时值、只比较 metageneration、误用 0 或针对源对象设置了目标条件，都可能导致逻辑错误。409/403 则要按具体错误原因检查保留策略或权限，不能把所有失败归到同一重试循环。前提条件文档解释了条件失败的安全意义。

GCS ADC 排错先确认实际凭据来源、令牌有效性、目标桶与动作；不要打印完整凭据对象。403 还可能涉及组织策略、服务边界和 KMS，项目参数正确也不代表有权限。sign 单独失败时检查签名能力而非读取角色；签名 URL 访问失败再看方法、Host、路径编码、过期及参与签名的头。客户端认证提供了 ADC 背景。

上传中断与观察

GCS 可恢复上传失败时，session URI 是敏感能力，日志只记录脱敏任务标识、字节范围及错误类别。重试必须确认本地内容未变化；超时并不说明服务端未收到字节。SDK 的条件重试不能跨越业务事务边界，上传成功后数据库失败仍需孤儿对象清理策略。

练习：删除操作超时后，为什么必须保留原 generation？答案：重试绑定原代际可以避免删掉同名新对象；去掉条件虽可能让请求成功，却破坏了业务意图。本轮仅静态推演，示例未执行、服务未连接、云账号未访问。

用代际号推演冲突与恢复

自测场景

GCS 复习从四个状态题开始：为什么 metageneration=1 不能独立指定内容？if_generation_match=0 是否要求桶里完全没有历史版本？OAuth 令牌可读对象为何不能直接推导签名 URL 能力？开启版本保留后删除对象是否等于 S3 写入删除标记？先画出 name、generation、metageneration 与 live/noncurrent/soft-deleted 状态，再读参考答案。前置：原生机制。

参考解答

GCS 代际解答：generation 标识内容版本，metageneration 只在对应内容版本下标识元数据修订。跨 generation 重用同一个 metageneration 数字不能说明内容没变；元数据乐观更新应保护对象身份及修订。if_generation_match=0 关注 live 对象的不存在，不是声明所有 noncurrent 或软删除内容都不存在。官方前提条件定义了这一特殊值。

GCS 签名解答：ADC 是寻找 API 身份的机制，V4 URL 需要签名能力；普通用户令牌不带私钥，远程签名还需单独权限。把全项目 Storage Admin 加给用户不会自动给这个令牌一个签名实现。签名应在业务授权之后生成，且 URL 可在有效期内多次使用。

GCS 删除解答：版本保留通过 noncurrent generation 组织旧内容，soft delete 是另一套保护状态，不能把 S3 delete marker 套进来。是否可恢复由对象状态、期限及权限决定；普通列表为空不是彻底销毁证明。应用引用必须更新到经过验证的新 generation，恢复旧内容并不自动修正数据库中的引用。

纸面实践：并发编辑元数据

GCS 实践设 A、B 都读到同一 generation 的 metageneration=3。A 写入 owner='A' 并使用 if_metageneration_match=3 成功；B 携旧条件写入 owner='B' 应遇到 412。B 必须重新读取、合并业务允许的字段，再用新条件更新；如果 owner 是不可更改的业务属性，应直接报告冲突，而不是“最后写入者获胜”。进一步插入 C 替换内容的事件，检查同时绑定 generation 能否阻止 B 修改另一份内容。

验收不是执行真实请求，而是为每一步写出请求条件、期望状态和错误处理。可再设计上传后数据库失败：保存对象身份与业务请求键，允许读者重查结果，异步回收未引用对象。对象存储与数据库之间没有共同事务，代际条件只保证单次对象操作的意图，不保证报告发布流程整体原子性。

完成标准与适用边界

能从完整 CLI 找出分页、CRC32C、客户端关闭和精确代际删除，能解释 ADC、前提条件、软删除及恢复，才完成本路线。读者未来运行须保存实际版本、脱敏错误码与摘要证据；本轮示例未执行，没有账号或产品连接。层次命名空间、批量恢复、跨区域复制和生产 IAM 条件设计需要单独验证，不能从小文件 CLI 推导容量或可用性承诺。