设计归档
这里归档 SILO 维护决策背后的完整思考：要解决的问题、兼容性边界、被否决的方案、实现要求，以及进入发布版本前必须取得的验证证据。
阅读时先看日期与状态：设计提案说明尚待实现或验证的方案；已合入 main只说明源码包含改动；已发布必须关联实际 tag/发布说明。历史评审和当时的未完成项不自动代表当前行为，后续更正应明确版本。证据优先使用固定提交、PR、稳定测试及发布记录；本地测试、远端 CI、制品与生产部署分别计数。
-
Go 1.27 TLS 默认值与 OIDC Discovery 故障形态
SILO 工具链迁移到 Go 1.27 后，Server TLS 修复 48e184652 （“fix(tls): honor Go key exchange defaults across transports”）移除了显式曲线覆盖。本文记录 TLS 层的变化、issue #154 调查中形成的按阶段诊断方法，以及管理员在身份系统启动即失踪时需要的事实。 发布边界，截至 2026-09-16： Server 20260903 已使用 Go 1.27.1，但不包含 48e184652；后者是 …
SILO 工具链迁移到 Go 1.27 后，Server TLS 修复 48e184652 （“fix(tls): honor Go key exchange defaults across transports”）移除了显式曲线覆盖。本文记录 TLS 层的变化、issue #154 调查中形成的按阶段诊断方法，以及管理员在身份系统启动即失踪时需要的事实。 发布边界，截至 2026-09-16： Server 20260903 已使用 Go 1.27.1，但不包含 48e184652；后者是 …
-
请求头截止时间：绝对头部上限与滚动的正文空闲超时
2026-09-17 发布更新： 本文记录的九月源码修复已随 Server 20260916 发布；协调升级、可选功能启用条件和剩余限制仍按各节执行。下方带日期的源码状态与验证记录保留当时的范围。 本文记录 Server HTTP 读取截止时间的修复，作为 PR #196 的一部分合入 main（修复 055030ea5）。 截至 2026-09-16： 修复在核验过的 main 40220bd836cb 上；不在已发布的 Server 20260903 中。 证据类别： 合成实验——直接 …
2026-09-17 发布更新： 本文记录的九月源码修复已随 Server 20260916 发布；协调升级、可选功能启用条件和剩余限制仍按各节执行。下方带日期的源码状态与验证记录保留当时的范围。 本文记录 Server HTTP 读取截止时间的修复，作为 PR #196 的一部分合入 main（修复 055030ea5）。 截至 2026-09-16： 修复在核验过的 main 40220bd836cb 上；不在已发布的 Server 20260903 中。 证据类别： 合成实验——直接 …
-
副本元数据归一化：可信复制不得重新注入什么
本文记录可信复制接收端如何为副本恢复元数据的修复，合入 Server main 为 PR #194（修复 4fcdf37ce，合并为 9f3037e941）。 截至 2026-09-16： 修复在核验过的 main 40220bd836cb 上；不在已发布的 Server 20260903 中。 来源： 生产逻辑采纳 Mikhail Khadarenka 的 PR #187；合并后的改动保留其作者身份，并把范围收敛到经评审验证的边界。 证据类别： 针对真实单盘与 16 盘纠删后端的 64 叶 …
本文记录可信复制接收端如何为副本恢复元数据的修复，合入 Server main 为 PR #194（修复 4fcdf37ce，合并为 9f3037e941）。 截至 2026-09-16： 修复在核验过的 main 40220bd836cb 上；不在已发布的 Server 20260903 中。 来源： 生产逻辑采纳 Mikhail Khadarenka 的 PR #187；合并后的改动保留其作者身份，并把范围收敛到经评审验证的边界。 证据类别： 针对真实单盘与 16 盘纠删后端的 64 叶 …
-
复制标签排序：修订时间戳、墓碑与复活
本文记录对象标签在复制中如何保序的两个缺陷的分析与修复，分别合入 Server main 为 PR #193（修复 03027727d）与 PR #196（修复 680eac66e）。 截至 2026-09-16： 两个修复均已在核验过的 main 40220bd836cb 上；不在已发布的 Server 20260903 中，请用链接的 PR 识别包含它们的构建。 交付边界： 仅源码级验收（回归测试 + R4–R8 集成运行，PR #196 的 11 项检查全部通过）。本记录不确立任何 …
本文记录对象标签在复制中如何保序的两个缺陷的分析与修复，分别合入 Server main 为 PR #193（修复 03027727d）与 PR #196（修复 680eac66e）。 截至 2026-09-16： 两个修复均已在核验过的 main 40220bd836cb 上；不在已发布的 Server 20260903 中，请用链接的 PR 识别包含它们的构建。 交付边界： 仅源码级验收（回归测试 + R4–R8 集成运行，PR #196 的 11 项检查全部通过）。本记录不确立任何 …
-
联邦 CopyObject：保持目标对象契约
2026-09-16 源码状态：本文记录 main 中 #157、#159、#163、#177 和 #179 的 CopyObject 修复，Server 20260903 尚未包含。讨论对象是把复制作为 PutObject 转发到另一部署的旧 etcd 存储桶联邦路径，不是桶/站点复制调度器。 转发一次逻辑字节，由目标端加密 代理读取源的逻辑字节，按需解密和解压，并向目标声明逻辑长度。不能先在本地加密/压缩，又要求远端再做一次。SSE-C 源读取仍需源密钥及安全传输。新对象由客户端显式 SSE …
2026-09-16 源码状态：本文记录 main 中 #157、#159、#163、#177 和 #179 的 CopyObject 修复，Server 20260903 尚未包含。讨论对象是把复制作为 PutObject 转发到另一部署的旧 etcd 存储桶联邦路径，不是桶/站点复制调度器。 转发一次逻辑字节，由目标端加密 代理读取源的逻辑字节，按需解密和解压，并向目标声明逻辑长度。不能先在本地加密/压缩，又要求远端再做一次。SSE-C 源读取仍需源密钥及安全传输。新对象由客户端显式 SSE …
-
多池对象一致性
2026-09-17 发布更新： 本文记录的九月源码修复已随 Server 20260916 发布；协调升级、可选功能启用条件和剩余限制仍按各节执行。下方带日期的源码状态与验证记录保留当时的范围。 2026-09-16 源码状态：#178 修复多池修改顺序，随后 #207 把当前对象选择扩展到条件 PUT。它们已合入 main，但不在 Server 20260903 中，关闭了 #133 与 #144 跟踪的源码缺陷；这不构成新发布产物的验收。 一个键可以有多份物理副本 扩池、退役或中断的清理 …
2026-09-17 发布更新： 本文记录的九月源码修复已随 Server 20260916 发布；协调升级、可选功能启用条件和剩余限制仍按各节执行。下方带日期的源码状态与验证记录保留当时的范围。 2026-09-16 源码状态：#178 修复多池修改顺序，随后 #207 把当前对象选择扩展到条件 PUT。它们已合入 main，但不在 Server 20260903 中，关闭了 #133 与 #144 跟踪的源码缺陷；这不构成新发布产物的验收。 一个键可以有多份物理副本 扩池、退役或中断的清理 …
-
持久化 IAM 撤销
2026-09-17 发布更新： 本文记录的九月源码修复已随 Server 20260916 发布；协调升级、可选功能启用条件和剩余限制仍按各节执行。下方带日期的源码状态与验证记录保留当时的范围。 2026-09-16 源码状态：#191 与 #192 已合入 main，但不在已发布的 Server 20260903 中。它们改变 IAM 持久状态，要求协调升级。执行时使用升级恢复手册，安全边界见 SN-2026-013。 SILO 保留已删除 IAM 记录的版本，使离线站点重新连接后不能恢复 …
2026-09-17 发布更新： 本文记录的九月源码修复已随 Server 20260916 发布；协调升级、可选功能启用条件和剩余限制仍按各节执行。下方带日期的源码状态与验证记录保留当时的范围。 2026-09-16 源码状态：#191 与 #192 已合入 main，但不在已发布的 Server 20260903 中。它们改变 IAM 持久状态，要求协调升级。执行时使用升级恢复手册，安全边界见 SN-2026-013。 SILO 保留已删除 IAM 记录的版本，使离线站点重新连接后不能恢复 …
-
SSE-C 副本完整性
2026-09-17 发布更新： 本文记录的九月源码修复已随 Server 20260916 发布；协调升级、可选功能启用条件和剩余限制仍按各节执行。下方带日期的源码状态与验证记录保留当时的范围。 2026-09-16 源码状态：#122、#123、#124、#126 和 #134 已在 main，但不在已发布的 Server 20260903 中。此前零字节/属性读取认证与目标密钥 checksum 响应修复已随 20260903 发布；不能把所有 SSE-C 修复当作同一次发布。 密文与信 …
2026-09-17 发布更新： 本文记录的九月源码修复已随 Server 20260916 发布；协调升级、可选功能启用条件和剩余限制仍按各节执行。下方带日期的源码状态与验证记录保留当时的范围。 2026-09-16 源码状态：#122、#123、#124、#126 和 #134 已在 main，但不在已发布的 Server 20260903 中。此前零字节/属性读取认证与目标密钥 checksum 响应修复已随 20260903 发布；不能把所有 SSE-C 修复当作同一次发布。 密文与信 …
-
Object Lock 复制排序
2026-09-16 发布边界：f4c1286c9 已随 Server 20260903 发布。后续仅时间戳删除、SSE-C 重传和跨池修复见 #129、#134、#178，它们在 main 中，但不在该发布中。公告台账 记录原始排序缺陷。 重建元数据前保留旧状态 副本 COPY 曾在比较保留期和 legal hold 时间戳之前，就用入站请求重建元数据。旧时间戳因此丢失，旧请求看起来也能成为权威更新；legal hold 时间戳还写错到保留期时间戳键。第一批修复在重建目标 map 前捕获已存状 …
2026-09-16 发布边界：f4c1286c9 已随 Server 20260903 发布。后续仅时间戳删除、SSE-C 重传和跨池修复见 #129、#134、#178，它们在 main 中，但不在该发布中。公告台账 记录原始排序缺陷。 重建元数据前保留旧状态 副本 COPY 曾在比较保留期和 legal hold 时间戳之前，就用入站请求重建元数据。旧时间戳因此丢失，旧请求看起来也能成为权威更新；legal hold 时间戳还写错到保留期时间戳键。第一批修复在重建目标 map 前捕获已存状 …
-
桶配置复制：来源时间、删除与确定性收敛
#77 是已复现的站点复制正确性问题。接收端把来源时间改成到达时间，可能拒绝真正较新的删除；部分配置删除后不再导出时间，断线期间遗漏的删除也无法被 heal 找回。单独补一个 DELETE 分支不能解决这两个问题。 合并状态（2026-09-12）： 修复与研究归档已通过 PR #180 合入 main（48ec10312），#77 已关闭。合并前 9 项 CI 检查全部通过。 评审边界： 计划经过四轮 Claude Code Opus 5 Max 审查，最后两轮通过；实现完整审查、修正复审和最 …
#77 是已复现的站点复制正确性问题。接收端把来源时间改成到达时间，可能拒绝真正较新的删除；部分配置删除后不再导出时间，断线期间遗漏的删除也无法被 heal 找回。单独补一个 DELETE 分支不能解决这两个问题。 合并状态（2026-09-12）： 修复与研究归档已通过 PR #180 合入 main（48ec10312），#77 已关闭。合并前 9 项 CI 检查全部通过。 评审边界： 计划经过四轮 Claude Code Opus 5 Max 审查，最后两轮通过；实现完整审查、修正复审和最 …
-
复制可靠性：删除完成、MRF 可见性与 resync 取消
本文记录 #153、#152、#137 的分析、方案取舍、评审与实施结论。三者属于同一组复制可靠性问题，但分别发生在操作分类、后台恢复可见性和任务生命周期上，不能靠一个统一的重试补丁解决。 截至 2026-09-09： PR #162 已合并为 d1105bbb，三个 issue 均已关闭。被测 PR head 的八项检查与合并后主干的 Go CI、VulnCheck 全部通过。 第二轮，2026-09-16： PR #196（修复 0c61128d2，验证记录 aea3882c9）修复了复制 …
本文记录 #153、#152、#137 的分析、方案取舍、评审与实施结论。三者属于同一组复制可靠性问题，但分别发生在操作分类、后台恢复可见性和任务生命周期上，不能靠一个统一的重试补丁解决。 截至 2026-09-09： PR #162 已合并为 d1105bbb，三个 issue 均已关闭。被测 PR head 的八项检查与合并后主干的 Go CI、VulnCheck 全部通过。 第二轮，2026-09-16： PR #196（修复 0c61128d2，验证记录 aea3882c9）修复了复制 …
-
未签名的 Header 不属于请求
2026-09-17 发布更新： 本文记录的九月源码修复已随 Server 20260916 发布；协调升级、可选功能启用条件和剩余限制仍按各节执行。下方带日期的源码状态与验证记录保留当时的范围。 本文记录 SILO 的未签名头覆盖修复，核心提交为 123325430，已通过 PR #173 合并，台账编号 SN-2026-011。该问题由 Oren Yomtov 针对已发布版本报告，并在本地两条签名路径上均已复现。 2026-09-11 状态： 原始修复已推送，并通过 PR #173 合并。 …
2026-09-17 发布更新： 本文记录的九月源码修复已随 Server 20260916 发布；协调升级、可选功能启用条件和剩余限制仍按各节执行。下方带日期的源码状态与验证记录保留当时的范围。 本文记录 SILO 的未签名头覆盖修复，核心提交为 123325430，已通过 PR #173 合并，台账编号 SN-2026-011。该问题由 Oren Yomtov 针对已发布版本报告，并在本地两条签名路径上均已复现。 2026-09-11 状态： 原始修复已推送，并通过 PR #173 合并。 …
-
SILO Server 20260903 发布前复审
这是 SILO 20260903 背后的发布前长期工程记录：为什么不能直接接受早期“所有问题都已解决”的结论，独立复审发现了什么，修复如何收窄，以及复审时距离生产发布还差哪些门禁。链接的发布说明记录了之后的正式交付结果。 结论： 6e112d1856d4f3655f30fc81ee47e9f43d50d8f3 源码候选在代码层面可以 GO 到远端复审；生产发布仍是有条件 GO，必须等待远端 CI、Test Release、tag 与构件校验、签名、容器发布及公开 pull 验证完成。 基线： …
这是 SILO 20260903 背后的发布前长期工程记录：为什么不能直接接受早期“所有问题都已解决”的结论，独立复审发现了什么，修复如何收窄，以及复审时距离生产发布还差哪些门禁。链接的发布说明记录了之后的正式交付结果。 结论： 6e112d1856d4f3655f30fc81ee47e9f43d50d8f3 源码候选在代码层面可以 GO 到远端复审；生产发布仍是有条件 GO，必须等待远端 CI、Test Release、tag 与构件校验、签名、容器发布及公开 pull 验证完成。 基线： …
-
鉴权前不做 I/O，Header 不授予权限
发布核对（2026-09-16）： 本文原始修复已进入 Server 20260903。下文带日期的评审与测试叙述记录当时证据，不代表当前仍待发布，也不代表特定生产部署已验收。后续源码与组件选择见版本表。 本文记录以 PR #101（938603458 至 04b097fd9）合并进 SILO 的 CORS 热路径与复制请求信任边界修复。 截至 2026-09-03 的状态： PR #101 已于 2026-09-01 合并进 main，并带四个后续提交：Snowball 逐条目信任隔离 …
发布核对（2026-09-16）： 本文原始修复已进入 Server 20260903。下文带日期的评审与测试叙述记录当时证据，不代表当前仍待发布，也不代表特定生产部署已验收。后续源码与组件选择见版本表。 本文记录以 PR #101（938603458 至 04b097fd9）合并进 SILO 的 CORS 热路径与复制请求信任边界修复。 截至 2026-09-03 的状态： PR #101 已于 2026-09-01 合并进 main，并带四个后续提交：Snowball 逐条目信任隔离 …
-
ListMultipartUploads：实现、升级契约与历史设计
2026-09-17 发布更新： 本文记录的九月源码修复已随 Server 20260916 发布；协调升级、可选功能启用条件和剩余限制仍按各节执行。下方带日期的源码状态与验证记录保留当时的范围。 这是 SILO Issue #79 的问题说明、设计分析与决策记录。 9 月 16 日实现与升级契约 PR #198 保留 mr javad seydi 的原始元数据与扫描实现，并追加维护者对 marker 消失、发现覆盖不足、取消确认和升级诊断的修复。发布前的兼容性修复将默认模式恢复为 …
2026-09-17 发布更新： 本文记录的九月源码修复已随 Server 20260916 发布；协调升级、可选功能启用条件和剩余限制仍按各节执行。下方带日期的源码状态与验证记录保留当时的范围。 这是 SILO Issue #79 的问题说明、设计分析与决策记录。 9 月 16 日实现与升级契约 PR #198 保留 mr javad seydi 的原始元数据与扫描实现，并追加维护者对 marker 消失、发现覆盖不足、取消确认和升级诊断的修复。发布前的兼容性修复将默认模式恢复为 …
-
只读 Checksum 审计与可靠的 CLI 输出契约
本文是 MCLI 只读 checksum 校验流程，以及发布审查中发现的 non-TTY 输出缺陷 pgsty/mc#5 的设计与实现记录。 状态： 已随最终的 mcli 20260903 正式发布。命令经 pull request #8 与 #13 合入 main，在托管 CI 中针对真实 SILO 服务器验证， pgsty/mc#5 已关闭。Server 20260903 镜像已捆绑包含本命令的 mcli 20260903。 归属： pgsty/mc。 跟踪： pgsty/mc#5。 安全边 …
本文是 MCLI 只读 checksum 校验流程，以及发布审查中发现的 non-TTY 输出缺陷 pgsty/mc#5 的设计与实现记录。 状态： 已随最终的 mcli 20260903 正式发布。命令经 pull request #8 与 #13 合入 main，在托管 CI 中针对真实 SILO 服务器验证， pgsty/mc#5 已关闭。Server 20260903 镜像已捆绑包含本命令的 mcli 20260903。 归属： pgsty/mc。 跟踪： pgsty/mc#5。 安全边 …
-
两把 SSE-C 密钥，一份 CopyObject 响应
发布核对（2026-09-16）： 本文原始修复已进入 Server 20260903。下文带日期的评审与测试叙述记录当时证据，不代表当前仍待发布，也不代表特定生产部署已验收。后续源码与组件选择见版本表。 本文记录 SILO 提交 e73436c99 中的 CopyObject SSE-C checksum 响应修复。 截至 2026-08-28 的状态： 实现、加密与换钥测试、完整服务器套件、race、静态检查、构建和 Fable Max 独立验收均已完成。该提交已于 2026-08-29 …
发布核对（2026-09-16）： 本文原始修复已进入 Server 20260903。下文带日期的评审与测试叙述记录当时证据，不代表当前仍待发布，也不代表特定生产部署已验收。后续源码与组件选择见版本表。 本文记录 SILO 提交 e73436c99 中的 CopyObject SSE-C checksum 响应修复。 截至 2026-08-28 的状态： 实现、加密与换钥测试、完整服务器套件、race、静态检查、构建和 Fable Max 独立验收均已完成。该提交已于 2026-08-29 …
-
配置环境文件不是 Shell 脚本
发布核对（2026-09-16）： 本文原始修复已进入 Server 20260903。下文带日期的评审与测试叙述记录当时证据，不代表当前仍待发布，也不代表特定生产部署已验收。后续源码与组件选择见版本表。 本文定义 MINIO_CONFIG_ENV_FILE 的启动契约，并记录 SILO 提交 2aea7fe9c 中的兼容性修复。 截至 2026-08-28 的状态： 实现、定向测试、完整 cmd 与 internal 套件、tagged tests、race、vet、lint、生成物检查 …
发布核对（2026-09-16）： 本文原始修复已进入 Server 20260903。下文带日期的评审与测试叙述记录当时证据，不代表当前仍待发布，也不代表特定生产部署已验收。后续源码与组件选择见版本表。 本文定义 MINIO_CONFIG_ENV_FILE 的启动契约，并记录 SILO 提交 2aea7fe9c 中的兼容性修复。 截至 2026-08-28 的状态： 实现、定向测试、完整 cmd 与 internal 套件、tagged tests、race、vet、lint、生成物检查 …
-
BadDigest、InvalidRequest 与 CompleteMultipartUpload 校验和契约
#48 与 #50 的修复 已包含在 Server 20260903 中。 本文取代八月提案中“暂时保持 CRC64NVME 规范化”的结论。 为什么必须在完成时校验 初始化上传时选择算法和对象校验和类型，各分片保存其校验和值。 完成请求必须依据已存储的契约校验最终值与显式类型断言，不能因为基础算法相同就将 COMPOSITE 改为 FULL_OBJECT， 也不能通过省略最终摘要绕过类型断言。 修复区分省略类型与显式类型，只规范化内部表示标志，并采用操作专用错误类型，保持 UploadPart …
#48 与 #50 的修复 已包含在 Server 20260903 中。 本文取代八月提案中“暂时保持 CRC64NVME 规范化”的结论。 为什么必须在完成时校验 初始化上传时选择算法和对象校验和类型，各分片保存其校验和值。 完成请求必须依据已存储的契约校验最终值与显式类型断言，不能因为基础算法相同就将 COMPOSITE 改为 FULL_OBJECT， 也不能通过省略最终摘要绕过类型断言。 修复区分省略类型与显式类型，只规范化内部表示标志，并采用操作专用错误类型，保持 UploadPart …
-
ListObjects 快捷路径不能把不存在的桶伪装成空桶
发布核对（2026-09-16）： 本文原始修复已进入 Server 20260903。下文带日期的评审与测试叙述记录当时证据，不代表当前仍待发布，也不代表特定生产部署已验收。后续源码与组件选择见版本表。 本文是 SILO #32 与 PR #37 的问题分析、设计讨论与修复决策归档。 截至 2026-08-26 的状态： PR #37 已更新为带 DCO sign-off 的 head e9c5340be，通过正式批准并合并为 49c8aeac4；#32 随后自动关闭。精确 PR head …
发布核对（2026-09-16）： 本文原始修复已进入 Server 20260903。下文带日期的评审与测试叙述记录当时证据，不代表当前仍待发布，也不代表特定生产部署已验收。后续源码与组件选择见版本表。 本文是 SILO #32 与 PR #37 的问题分析、设计讨论与修复决策归档。 截至 2026-08-26 的状态： PR #37 已更新为带 DCO sign-off 的 head e9c5340be，通过正式批准并合并为 49c8aeac4；#32 随后自动关闭。精确 PR head …