PGSTY SILO 博客

本文汇总随 Server 20260916 与 Console v2.4.1 发布的三项安全修复（SN-2026-012 至 SN-2026-014）及底层依赖安全更新。完整台账索引见安全公告台账。 编号与问题 修复源码 发布状态 SN-2026-012：预签名载荷完整性 Server c4b5e1cb4，PR #177 已随 Server 20260916 发布（RELEASE.2026-09-03T13-18-01Z 及更早版本受影响） SN-2026-013：持久 IAM 撤销 …

版本日期： 2026-09-16 · 正式发布： 2026-09-17（UTC 2026-09-16） · 标签： RELEASE.2026-09-16T00-00-00Z · 软件包版本： 20260916000000.0.0。安装入口见下载页。 源码范围为已发布提交 9b11dc9469e6 到本版 2a4d51406b7e，共 210 个提交，其中 140 个非合并提交。本文覆盖该范围内的最终行为，包含 #214 之后的列表 quorum、版本 purge 和迁移标签修复。 本版重点 更完 …

版本： RELEASE.2026-09-16T00-00-00Z · 软件包： 20260916000000.0.0 · 源码： e952aa78f10a。 相对 20260913 的变化 接入 silo-pkg v3.14.1、上游 minio-go v7.3.1-0.20260915093545-32e1f32cb176 和 JWX v3.3.0。CopyObject 会重试并报告 HTTP 200 响应内嵌的 S3 错误，避免复制失败后授权 mv 删除源对象；JWX 正确转义输出 JSON …

版本： RELEASE.2026-09-13T00-00-00Z · 软件包： 20260913000000.0.0 · 源码： 4f609a4d。 相对 20260903 的变化 mirror --remove --watch 保留目标端历史版本。 服务重启的 dry run 只显示计划，不执行重启；明确非交互环境行为。 传输与 S3 Select 出错时返回失败；空上传遵守显式校验和参数；quiet 模式下仍输出 pipe JSON。 布尔环境变量接受 on/off，修复跨平台 …

v3.14.0 于 2026-09-13 发布，源码提交为 827f8109，模块导入路径为 github.com/pgsty/silo-pkg/v3。 密码策略迁移 本版调整了密码修改的授权语义： 公共方法 Policy.IsAllowedActions 默认放行 admin:ChangeMyPassword（除非策略显式 Deny），而创建或管理他人的 admin:CreateUser 仍必须显式 Allow。在配套升级后的 Server 与 Console 中，仅拒绝 …

SN-2026-011 于 2026-09-13 在 Server 主分支修复（起始提交 123325430），并已随 Server 20260916 正式发布。Server RELEASE.2026-09-03T13-18-01Z 及更早版本均受影响（同期发布的 silo-pkg v3.14.0 与 mcli 20260913 属于依赖库与客户端版本，不包含服务端二进制修复）。 在未修复版本中，持有合法签名 PUT 请求的调用方可以追加未签名的 x-amz-copy-source 请求头，将该 …

#77 是已在 Server 20260916（PR #180，提交 48ec10312）中修复的站点复制正确性缺陷。修复前，接收站点将对端事件的来源时间改写为本地到达时间（UTCNow），导致后续真正较新的删除请求因早于本地到达时间而被当作旧事件拒绝；同时部分配置在删除后不再导出时间戳，断连期间遗漏的删除也无法通过自愈（heal）恢复。仅补一个 DELETE 分支无法同时解决这两类问题，确定性收敛必须同时具备来源时间保留、持久化删除墓碑（tombstone）、规范化内容比较键以及整桶元数据锁。 …

本文记录随 Server 20260916 交付的三轮复制可靠性修复的问题分析、方案取舍与验收结论： 第一轮（PR #162，合并为 d1105bbb）： 修复 #153、#152 与 #137，分别涉及请求入口的操作分类、后台恢复队列的可观测性以及任务取消生命周期。 第二轮（PR #196，提交 0c61128d2）： 修复复制工作协程（worker）的删除出口、外层状态聚合与持久化 MRF 标记恢复路径（见第二轮小节）。 第三轮（提交 eb4f5e5b3、254b19ac0 与 …

本文记录 SILO 的未签名请求头覆盖修复（核心提交 123325430，经 PR #173 合入，安全通告编号 SN-2026-011）以及 PR #177 中的后续签名与载荷校验修复（安全通告编号 SN-2026-012）。上述修复已随 Server 20260916 发布。该漏洞由 Oren Yomtov 报告，并在本地预签名与 Authorization 请求头两条 SigV4 路径上复现。 核心结论（TL;DR） 预签名 PUT URL 可以只对 host 一个请求头签名。此前 …

v2.4.0 于 2026-09-08 发布， 源码为 c103d08e。 已发布行为 对象目录默认每页 100 条，可选 50、100、250、500、1000。每页只发一次 S3 continuation-token 请求；排序、筛选和选择作用于当前页，不扫描整个目录，没有无限制的“全部”模式。 版本删除绑定选定对象，目录删除限制在其前缀内。生命周期编辑保留独立动作和界面未暴露的字段，复制规则删除统一保存。 暂时网络故障不清空会话；处理空版本控制状态、损坏的侧栏偏好与过时的下拉选择。 …

发布日期： 2026-09-03 · 版本： RELEASE.2026-09-03T07-13-05Z · 源码： a2ef95c0 距离 mcli 20260806 二十八天，本次发布汇总了客户端此后积累的全部变更。工具链升级到 Go 1.27.1，共享依赖栈与 SILO 家族对齐，silo-pkg 以自有模块路径导入，go.mod 如实描述二进制的构建来源。fork 以来第一个真正的新命令 —— mcli checksum verify —— 到来了，它对端点实际返回的字节只读地核验存储的 …

版本日期： 2026-09-03 · 正式发布： 2026-09-04 · 版本： RELEASE.2026-09-03T13-18-01Z · 上一版本： RELEASE.2026-08-06T00-00-00Z SILO 20260903 是首个完整使用 Silo 品牌的版本之后的一次安全与正确性发布，重点收紧核心服务端不变量：客户端 header 不能凭空获得复制权限；浏览器 Origin 不能在鉴权前触发桶元数据 I/O；并发桶配置写入不能彼此静默覆盖；授权与校验和行为进一步对齐 AWS …

本文记录 SILO 20260903（RELEASE.2026-09-03T13-18-01Z，对应提交 9b11dc9469e650815b775cb47b039610644f5da4，候选复审提交 6e112d1856d4f3655f30fc81ee47e9f43d50d8f3，对比基线 RELEASE.2026-08-06T00-00-00Z 即 3be10fcc1a44f6620ded0bd303461f9d688cca23）的发布前工程复审：第二轮复审发现了哪些遗漏缺陷、修复边界如何收 …

本公告汇总随 SILO Server 20260903（RELEASE.2026-09-03T13-18-01Z）发布的五项服务端安全修复，涵盖客户端提供密钥加密（SSE-C）、客户端可控复制请求头、管理端账户/组状态变更鉴权以及显式对象版本删除。SN-2026-006 至 SN-2026-010 为 SILO 安全说明编号，对应从上游 minio/minio 代码基线继承并在发布前审计中修复的权限与密码学边界缺陷。 摘要 编号 触发前置条件 缺陷表现 20260903 修复后行为 …

自 Server 20260903 起（pgsty/silo#104，对应 Issue #58），SILO 按照删除请求实际执行的操作类型选择所需权限： 请求 所需权限 未携带 versionId s3:DeleteObject 版本 UUID s3:DeleteObjectVersion 显式 versionId=null s3:DeleteObjectVersion DeleteObjects 对每个 XML 条目独立应用映射 此前所有情况均要求 s3:DeleteObject，而 …

本文记录通过 PR #101（提交 938603458 至 04b097fd9）合入 SILO、编号为 SN-2026-008 并随 Server 20260903 发布的 CORS 热路径与复制请求信任边界修复。 概览 两个表面上互不相关的缺陷，实际上源于同一个架构层面的设计失误： 任何携带 Origin 请求头的 HTTP 请求都会促使最外层 CORS 中间件把 URL 第一段路径当成存储桶名称，并在身份认证之前同步从磁盘加载该桶的元数据。 任何携带 …

本文记录 ListMultipartUploads 在完整工程生命周期中的设计与演进：Server 20261018 当前采用的 MinIO 兼容契约、16 盘纠删集容量压测后于 10 月 18 日执行的部分回滚、10 月 17 日无条件磁盘扫描尝试（#243，合入提交 7e9454456）、9 月 16 日可选 strict 模式（#198），以及 8 月 30 日的原始根因分析。 Server 20261018 当前行为契约 Server 20261018 在 main 分支上恢复了传统的 …

发布日期： 2026-08-30 · 版本： v3.13.0 · 提交： 215f116 · 仓库： pgsty/silo-pkg 3.13.0 是一个破坏性版本：本模块正式启用独立导入路径 github.com/pgsty/silo-pkg/v3，同时退役 pgsty/silo-go 分支，直接依赖上游 minio-go。维护栈各组件（silo、silo-console 与 mcli）均已在 2026-09-03 / v2.4.0 版本波次完成新路径迁移，详见组件版本矩阵。 版本速览 已发布： …

本文记录 MCLI 只读 checksum 校验工作流，以及发布复核阶段发现的 non-TTY 输出缺陷 pgsty/mc#5 的设计与实现。该命令经由 pgsty/mc 的 pull request #8 与 #13 合入主干，并随 mcli 20260903 正式发布（已内置于 Server 20260903 容器镜像）。 核心概览 历史版本的 CopyObject 实现可能在压缩或加密后的底层存储字节上计算附加校验和（additional checksum），而非在 S3 GET 返回给客 …

本文记录提交 e73436c99（已随 Server 20260903 发布）中的 CopyObject SSE-C 校验和响应修复。该修复仅作用于目标对象成功提交后的 CopyObject XML 与 HTTP 响应生成阶段；已存储的对象字节、校验和元数据、加密格式、源对象解密、联邦复制与站点复制均保持不变。 概览 一次 SSE-C CopyObject 请求可以同时携带两套相互独立的客户端加密密钥： 角色 请求头 用途 源对象 …