Design
12 篇-
多池删除：失败时保住最新副本
2026 年 10 月 24 日决定：合并修正后的 PR #257（已随 Server 20261026 发布）。 提交 aafe4f8886 修复了 issue #256 报告的多池删除缺陷，并补齐请求开始之后的执行期故障保护。核心不变量是：先完成其他池的旧副本清理，再删除决定当前读取结果的权威副本。 Denis Babchuk 报告了该问题并提交了初始补丁。代码评审复现了故障，发现批量删除在通过在线盘数预检查后仍存在执行期故障窗口，随后补充分阶段执行、逐项响应身份保持、部分删除重试以及共享分 …
2026 年 10 月 24 日决定：合并修正后的 PR #257（已随 Server 20261026 发布）。 提交 aafe4f8886 修复了 issue #256 报告的多池删除缺陷，并补齐请求开始之后的执行期故障保护。核心不变量是：先完成其他池的旧副本清理，再删除决定当前读取结果的权威副本。 Denis Babchuk 报告了该问题并提交了初始补丁。代码评审复现了故障，发现批量删除在通过在线盘数预检查后仍存在执行期故障窗口，随后补充分阶段执行、逐项响应身份保持、部分删除重试以及共享分 …
-
多池覆盖亲和：为何最终没有采纳 #245
2026 年 10 月 24 日决定：不合并本次测试的多池覆盖亲和补丁（PR #245）。 该方案解决了跨池覆盖遗留旧副本的空间占用问题，但无论完整策略还是仅限普通无版本覆盖的收窄策略，都未能在性能测试中达到可接受的权衡。两个实验分支（codex/healthy-pool-affinity 与 codex/unversioned-pool-affinity）已保留归档，服务端 main 分支保持原状。 Denis Babchuk 提出的思路是：覆盖已有对象时，优先写回已存放该对象的池。代码评审发 …
2026 年 10 月 24 日决定：不合并本次测试的多池覆盖亲和补丁（PR #245）。 该方案解决了跨池覆盖遗留旧副本的空间占用问题，但无论完整策略还是仅限普通无版本覆盖的收窄策略，都未能在性能测试中达到可接受的权衡。两个实验分支（codex/healthy-pool-affinity 与 codex/unversioned-pool-affinity）已保留归档，服务端 main 分支保持原状。 Denis Babchuk 提出的思路是：覆盖已有对象时，优先写回已存放该对象的池。代码评审发 …
-
FULL_OBJECT 校验和复制：在初始化上传时保留类型
Issue #254 报告了一类复制故障：使用 FULL_OBJECT CRC32 或 CRC32C 校验和的分片上传对象在源端可正常上传和读取，但复制到目标端并在最后调用 CompleteMultipartUpload 时会因 400 BadDigest 失败。Denis Babchuk（@botdeniska）提交的 PR #255 补回了出站复制请求遗漏的校验和类型头。 该补丁于 2026 年 10 月 24 日以 6d890fc86 合入主干并随 Server 20261026 发布，共 …
Issue #254 报告了一类复制故障：使用 FULL_OBJECT CRC32 或 CRC32C 校验和的分片上传对象在源端可正常上传和读取，但复制到目标端并在最后调用 CompleteMultipartUpload 时会因 400 BadDigest 失败。Denis Babchuk（@botdeniska）提交的 PR #255 补回了出站复制请求遗漏的校验和类型头。 该补丁于 2026 年 10 月 24 日以 6d890fc86 合入主干并随 Server 20261026 发布，共 …
-
LDAP 长 DN：恢复登录可用性并守住 IAM 撤销安全边界
Server PR #250（合入提交 d43adc0f2，已随 Server 20261026 发布）修复了 LDAP 用户在规范化可分辨名称（Distinguished Name，DN）超过对象存储 IAM 后端单路径分量 255 字节上限时无法登录的问题，同时严格保留了对真实存储故障与持久化 IAM 撤销记录的 Fail-Closed 错误传播。 原始问题报告、初版补丁（9faeb7a11）及长 DN 回归测试由社区贡献者 @910patin 提交。在合并前的设计复核中，维护者进一步收窄了 …
Server PR #250（合入提交 d43adc0f2，已随 Server 20261026 发布）修复了 LDAP 用户在规范化可分辨名称（Distinguished Name，DN）超过对象存储 IAM 后端单路径分量 255 字节上限时无法登录的问题，同时严格保留了对真实存储故障与持久化 IAM 撤销记录的 Fail-Closed 错误传播。 原始问题报告、初版补丁（9faeb7a11）及长 DN 回归测试由社区贡献者 @910patin 提交。在合并前的设计复核中，维护者进一步收窄了 …
-
IAM 策略重载：锁粒度、请求取消与超时预算隔离
提交 1b5477f3d（pgsty/silo#251）解决了 KMS/KES 响应缓慢时的两类级联故障： 鉴权缓存锁争用：ListPolicies 与 ListPolicyDocs 在保留 IAM 写操作串行锁（writeMu）的前提下，将慢速的后端策略读取与解密移出内存鉴权缓存锁（store.lock()），避免管理员列举策略时阻塞普通用户的 S3 读写请求。 全链路取消传播与超时预算隔离：将调用方的请求 context.Context 贯通至 IAM 配置解密、SSE-S3 列表密钥解封以 …
提交 1b5477f3d（pgsty/silo#251）解决了 KMS/KES 响应缓慢时的两类级联故障： 鉴权缓存锁争用：ListPolicies 与 ListPolicyDocs 在保留 IAM 写操作串行锁（writeMu）的前提下，将慢速的后端策略读取与解密移出内存鉴权缓存锁（store.lock()），避免管理员列举策略时阻塞普通用户的 S3 读写请求。 全链路取消传播与超时预算隔离：将调用方的请求 context.Context 贯通至 IAM 配置解密、SSE-S3 列表密钥解封以 …
-
LIST 漏项修复：仅对存疑对象补读确认并收敛锁等待开销
随 SILO Server 20261018 发布的 PR #239（合并提交 fbcb51197，关闭 #218 并保留 mr javad seydi 在 #221 中的原始签署提交）以及 10 月 18 日的目录与公共前缀跟进修复（3dd53eb81 与 2080b3d03），解决了并发读写期间 ListObjects 与 ListObjectsV2 静默漏报对象的问题。本设计承接九月的 null 版本仲裁修复，并替代了早期“直接调用普通 GET 元数据路径”的恢复方案。 成功的目录列举可能 …
随 SILO Server 20261018 发布的 PR #239（合并提交 fbcb51197，关闭 #218 并保留 mr javad seydi 在 #221 中的原始签署提交）以及 10 月 18 日的目录与公共前缀跟进修复（3dd53eb81 与 2080b3d03），解决了并发读写期间 ListObjects 与 ListObjectsV2 静默漏报对象的问题。本设计承接九月的 null 版本仲裁修复，并替代了早期“直接调用普通 GET 元数据路径”的恢复方案。 成功的目录列举可能 …
-
IAM Admin API 授权边界修复
Server 20261018 包含了 PR #242（基于基线 00a375c4e 的修复提交 2616d43fb，合并提交 4e55fc7db）以及批量自查询后续修复 995439260，用于修复 SN-2026-017。本文记录问题范围、Handler 级授权契约、空策略与 claims 归属处理、损坏密钥清理语义、性能开销、被否决的候选方案以及回归验证结果。 问题与范围 此前部分 Admin Handler 在授权拒绝后仍以“目标属于调用者”为由放行，列出自身服务账号时甚至可能直接跳过授 …
Server 20261018 包含了 PR #242（基于基线 00a375c4e 的修复提交 2616d43fb，合并提交 4e55fc7db）以及批量自查询后续修复 995439260，用于修复 SN-2026-017。本文记录问题范围、Handler 级授权契约、空策略与 claims 归属处理、损坏密钥清理语义、性能开销、被否决的候选方案以及回归验证结果。 问题与范围 此前部分 Admin Handler 在授权拒绝后仍以“目标属于调用者”为由放行，列出自身服务账号时甚至可能直接跳过授 …
-
多池对象一致性
随 SILO Server 20260916 发布的 PR #178 修复了多存储池修改顺序问题，PR #207 将当前逻辑对象选择扩展至条件 PUT（关闭 #133 与 #144），提交 fced86303 则修复了跨池再平衡（rebalance）与退役（decommission）迁移丢失对象标签的缺陷。随后的 SILO Server 20261018 进一步合入 60c7179dd（纳入 PR #248）与 1748f62c7，修复了跨池迁移期间旧数据覆盖新副本以及删除标记（Delete …
随 SILO Server 20260916 发布的 PR #178 修复了多存储池修改顺序问题，PR #207 将当前逻辑对象选择扩展至条件 PUT（关闭 #133 与 #144），提交 fced86303 则修复了跨池再平衡（rebalance）与退役（decommission）迁移丢失对象标签的缺陷。随后的 SILO Server 20261018 进一步合入 60c7179dd（纳入 PR #248）与 1748f62c7，修复了跨池迁移期间旧数据覆盖新副本以及删除标记（Delete …
-
持久化 IAM 撤销
SILO 保留已删除 IAM 记录的版本（Revision），使离线站点在重新连接后无法将已删除的旧身份或旧授权恢复为有效状态。该机制覆盖内置用户、服务账号、组、策略文档，以及用户、STS 父身份和组各自命名空间中的策略映射。内置用户被删除后，即使管理员有意重建同名用户，此前签发的旧服务账号、STS 临时凭证与组授权也不会因此复活。 持久化 IAM 撤销架构（PR #191、#192，提交 f99ed829b5eba549160725f035156c9e020b6a07）已随 Server …
SILO 保留已删除 IAM 记录的版本（Revision），使离线站点在重新连接后无法将已删除的旧身份或旧授权恢复为有效状态。该机制覆盖内置用户、服务账号、组、策略文档，以及用户、STS 父身份和组各自命名空间中的策略映射。内置用户被删除后，即使管理员有意重建同名用户，此前签发的旧服务账号、STS 临时凭证与组授权也不会因此复活。 持久化 IAM 撤销架构（PR #191、#192，提交 f99ed829b5eba549160725f035156c9e020b6a07）已随 Server …
-
SSE-C 副本完整性
本文记录由 #122、#123、#124、#126 和 #134 共同构成的 SSE-C 副本完整性契约（随 Server 20260916 发布），与此前在 Server 20260903 中发布的零字节/属性读取认证及目标密钥 checksum 响应修复衔接。 密文与信任 普通 SSE-C 请求提供客户密钥，操作明文。经过授权的副本传输可以携带原始密文和保留原对象所需的密封对象密钥元数据。目标必须原样存储这些字节，再加密一次会产生不可读的双重加密对象。内部标记本身不是授权：仍需精确复制标记和 …
本文记录由 #122、#123、#124、#126 和 #134 共同构成的 SSE-C 副本完整性契约（随 Server 20260916 发布），与此前在 Server 20260903 中发布的零字节/属性读取认证及目标密钥 checksum 响应修复衔接。 密文与信任 普通 SSE-C 请求提供客户密钥，操作明文。经过授权的副本传输可以携带原始密文和保留原对象所需的密封对象密钥元数据。目标必须原样存储这些字节，再加密一次会产生不可读的双重加密对象。内部标记本身不是授权：仍需精确复制标记和 …
-
Object Lock 复制排序
Object Lock 复制时间戳排序的初始修复（f4c1286c9）已随 SILO Server 20260903 发布（收录于安全公告台账）。针对仅携带时间戳的删除（墓碑）、SSE-C 副本完整重传以及跨存储池 Object Lock 状态合并的后续修复（PR #129、PR #134 与 PR #178）已随 SILO Server 20260916 正式发布。 在重建目标元数据前捕获已存状态 此前，副本 COPY 在比较 Object Lock 保留期（Retention）与法务锁定 …
Object Lock 复制时间戳排序的初始修复（f4c1286c9）已随 SILO Server 20260903 发布（收录于安全公告台账）。针对仅携带时间戳的删除（墓碑）、SSE-C 副本完整重传以及跨存储池 Object Lock 状态合并的后续修复（PR #129、PR #134 与 PR #178）已随 SILO Server 20260916 正式发布。 在重建目标元数据前捕获已存状态 此前，副本 COPY 在比较 Object Lock 保留期（Retention）与法务锁定 …
-
SILO Server 20260903 发布前复审
本文记录 SILO 20260903（RELEASE.2026-09-03T13-18-01Z，对应提交 9b11dc9469e650815b775cb47b039610644f5da4，候选复审提交 6e112d1856d4f3655f30fc81ee47e9f43d50d8f3，对比基线 RELEASE.2026-08-06T00-00-00Z 即 3be10fcc1a44f6620ded0bd303461f9d688cca23）的发布前工程复审：第二轮复审发现了哪些遗漏缺陷、修复边界如何收 …
本文记录 SILO 20260903（RELEASE.2026-09-03T13-18-01Z，对应提交 9b11dc9469e650815b775cb47b039610644f5da4，候选复审提交 6e112d1856d4f3655f30fc81ee47e9f43d50d8f3，对比基线 RELEASE.2026-08-06T00-00-00Z 即 3be10fcc1a44f6620ded0bd303461f9d688cca23）的发布前工程复审：第二轮复审发现了哪些遗漏缺陷、修复边界如何收 …