OSS：生命周期、恢复与故障推演

生命周期、恢复与请求排错

生命周期不是定时事务

OSS 生命周期应分别讨论当前版本、非当前版本、删除标记与未完成分片。只配置当前对象过期，不能保证历史版本和碎片费用一起消失；只清理删除标记，又可能改变对象可见性。存储类别转换还可能带来最低存储时长、取回延迟与请求费。应先对实验前缀评估规则匹配，再核对保留策略，不能照抄全桶清理规则。官方版本管理及分片上传分别解释版本与碎片。

容量治理至少记录 key、版本数量、历史字节数、最后使用时间和 uploadId 年龄。生命周期是服务端异步管理，不是每天精确某一秒发生的业务承诺；业务到期展示应由应用校验，物理清理由平台完成。法定保留与不可变保护也不能由一个 delete 命令绕过。

恢复步骤与核验

OSS 恢复先区分“删除标记遮住内容”“指定版本被永久删掉”“归档对象尚未取回”。对于第一种，保留当前状态清单，按旧 versionId 下载至独立位置，比对大小和业务 SHA-256 摘要，确认源版本与恢复目标内容一致，再复制该旧版本成为新的当前版本。复制成功后保存新 versionId，而不是把旧 ID 当作新版本。直接删除当前删除标记可能暴露不合适的历史内容，需要业务审批与并发控制；本系列没有自动恢复脚本。

对于已经永久删除的版本，版本控制本身无法恢复；需要独立备份或复制目标。归档数据取回则是可用性状态变化，应等恢复完成后读取，不能把 403/409 一律当作权限问题。恢复演练的验收是内容、版本引用和应用引用都一致，而不只是 GET 返回 200。

鉴权与签名排错

OSS 鉴权排错遇到 AccessDenied 先记录 request_id、桶地域、动作及目标资源，再分别核对 RAM、桶策略显式拒绝、STS 会话范围和 KMS。临时 token 过期时仅更新 AK/SK 不够；若三者不是同次颁发会失败。不要通过开放 public-read 解决上传权限问题。

OSS 签名排错遇到 SignatureDoesNotMatch 检查 V4 region、Endpoint、主机名、系统时钟、路径编码及参与签名的头。下载链接被代理二次编码、将 %2F 改写成 /、签名后修改查询参数都可能使请求不同。保留脱敏后的请求结构，避免将完整 URL、Authorization 或 token 写入工单。核对入口见 SDK V1 官方仓库。

重试、校验与结果不明

OSS 重试不能只按“超时”分类。只读 GET 可以在固定 versionId 上重试；PUT 超时可能已经成功，应先查询业务记录或核对精确对象。CRC64 校验失败意味着完整性不满足要求，不应该把本地文件标记为完成；先排除流未完整读取、客户端修改和网络设备影响。429/5xx 采用有上限的退避和抖动，409 防覆盖冲突应返回业务冲突，不是无限重试。

练习：列表里没有对象就能宣布数据彻底删除吗？答案：不能，普通列表只展示当前可见对象，版本和分片需要各自枚举；恢复和销毁证明应使用相应 API 的完整分页清单。本文所有排错是静态推演，示例未执行、没有连接真实 OSS。

从对象版本推演应用正确性

自测题目

先读 版本机制 与 源码。OSS 复习要求解释以下场景：两个上传者同时写同名 key，已启用版本控制时防覆盖头是否有效？拿到 ETag 是否足以验证分片对象全文？list 为空为什么不能证明账单归零？一条签名 GET URL 能否代替用户权限模型？先写出请求前后的 key、versionId 和应用引用，再读答案。

参考解答

OSS 并发解答：版本桶保留写入版本但当前版本仍会变化，x-oss-forbid-overwrite 在启用/暂停状态不生效。不可把版本保留误当作业务串行化；应用发布指针需要数据库事务或其他明确的协调合同，UUID 对象只负责内容不变。没有版本 ID 的业务引用会随当前版本变化。

OSS 校验解答：CRC64 检查传输错误，SHA-256 可作业务内容摘要，ETag 则是服务返回标识，三者作用不同。SDK 下载必须读到结束才有完整文件，范围读取也不能当作全文验证。发现不完整文件应拒绝发布并保留诊断信息，不应通过禁用校验“修复”。

OSS 删除解答：当前删除标记会遮住内容，历史版本及分片仍可能计费；清理要分别审计这些资源。永久删除明确 versionId 后再无该版本可供恢复，生命周期也可能清除恢复材料。签名 URL 是短期持有者能力，必须在业务授权之后生成，不能发给任何知道 key 的人。官方版本指南提供恢复依据。

纸面综合实践

OSS 实践设计一个报告发布流程：上传 UUID key，记录 request_id、版本 ID、大小及业务摘要；在数据库事务中将报告状态从 draft 更新为 ready，同时保存完整对象引用；消费者只读取 ready 引用。若上传成功但数据库失败，将对象记为待清理，而不是向消费者返回未提交的 URL。若数据库成功但响应丢失，客户端凭业务幂等键查询结果，而不是再次生成新报告。

验收时用事件表推演四个断点：发送前失败、写入后响应丢失、数据库提交前失败、数据库提交后响应丢失。每个断点回答“用户看到什么”“是否重复计费”“怎样恢复”“如何辨认同一次请求”。参考结论是对象写入和数据库事务没有共同提交，必须显式设计孤儿对象与重试结果查询；版本控制不能填补这个原子性缺口。

完成标准与边界

能解释地域、RAM、STS、V4、版本状态、防覆盖限制、CRC64、分片和生命周期，并能从 CLI 找到分页及资源关闭，才算完成本路线。自行运行验收另需记录实际 SDK 版本、脱敏请求 ID、输入输出摘要及费用；这些证据本轮都没有。示例未执行，没有连接服务或云账号。跨地域复制、WORM、CDN 缓存失效和 SDK V2 迁移应另做专题，不能由这组笔记推导出生产 SLA。