设计

本文覆盖 issue #284，以及 #281 第一版原生恢复防护带来的两处回归；那些防护记录在恢复副本：过期的是副本，不是对象中。本文基于 main 69fcf50cd 和下个版本的集成分支评估。这个设计取代 #281 防护中私有 upload 的部分，其余部分保留。 状态： 设计经六轮审查通过，实现经两轮审查通过，已在下个版本的集成分支上本地提交。尚未合并或发布。 简短结论 原生恢复（对已转储版本发起 POST ?restore）会从 tier 下载该版本，并写出一份本地副本。两个问题来自这 …

本记录说明在下一版本地验收中发现的一个缺陷。下一版的本地集成和 69fcf50cd 上都能复现。目前还没有对应的 GitHub issue。 **状态：**修复已通过对抗评审（附若干小意见，均已采纳），并已在本地分支实现。尚未合并或发布。 简短回答 刚重启的节点，或者短暂与部分节点断开连接的节点，只能看到纠删集里的一部分盘。如果它能看到的盘上，对象元数据分属两个修订版本，而哪个版本都凑不够读 quorum，GET 和 HEAD 就会对一个存在的对象返回 404 NoSuchKey。 数据不会丢失 …

本记录说明在下一版本地验收中发现的一个缺陷。它在 69fcf50cd 上能复现，继承自上游 MinIO。目前还没有对应的 GitHub issue。 **状态：**已分析并复现。起草过一版修复，但对抗评审认为它对本版风险太大，予以否决。修复推迟到下一版，与存储操作的完成确认（fencing）一起做。下一版把它列为已知问题。 简短回答 CompleteMultipartUpload 没有达到写 quorum 时，这个上传可能变得无法使用，即使之后所有盘都恢复正常： 再次 Complete 返回 …

本文覆盖 issue #285 和 Denis Babchuk 提交的 PR #286，基于 main 69fcf50cd 与 PR head ed05d982a 评估。 状态： 修复已通过审查，已在本地提交。它已和下个版本的其他修复放在同一个集成分支上一起测试：带 kqueue,dev 标签的本地完整测试套件、本地执行的 CI 竞态检测选集，以及针对修复之间相互作用的对抗性审查，全部通过。尚未合并或发布。修复保留 PR #286 的提交不变，并增加一个维护者提交。 简短结论 报告属实。调用方已 …

本文覆盖 Henrik Feldt 报告的 issue #259，基于 main 69fcf50cd 评估。本修复完成了维护者此前未提交的工作：补上 Kafka 调用点，在目标从未启动时把排队记录交给替代者，并增加 Kafka 测试覆盖。修复已在本地提交，尚未提交 pull request。 状态： 修复已通过审查，已在本地提交。它已和下个版本的其他修复放在同一个集成分支上一起测试：带 kqueue,dev 标签的本地完整测试套件、本地执行的 CI 竞态检测选集，以及针对修复之间相互作用的对抗性 …

本文覆盖 issue #281 和 Denis Babchuk 提交的 PR #282，基于 main 69fcf50cd 评估。修复与多池生命周期修复（多池生命周期过期，#278）在同一个维护者集成 PR 中交付：贡献者提交原样保留，并附加下文所述的防护。本修复还依赖单池锁域修复，必须与它一起或在它之后合并。 状态： 修复已通过审查，已在本地提交。它已和下个版本的其他修复放在同一个集成分支上一起测试：带 kqueue,dev 标签的本地完整测试套件、本地执行的 CI 竞态检测选集，以及针对修复 …

本文覆盖 issue #278 和 Denis Babchuk 提交的 PR #279，基于 main 69fcf50cd 评估。修复将通过维护者集成 PR 合入：贡献者提交原样保留，并附加下文所述的维护者后续修正。恢复副本过期的修复（#281）在同一个集成 PR 中交付，另有单独记录。 状态： 修复的第一版通过了两轮维护者审查。随后对抗性审查要求修改，即修复方案中的第 6–9 部分。实现这些修改的补丁经过四轮审查后获得批准。它已和下个版本的其他修复放在同一个集成分支上一起测试：带 …

本文覆盖在审查恢复副本修复（恢复副本：过期的是副本，不是对象）时发现的锁域缺陷，评估基线为 main 上的 69fcf50cd。目前尚未提交 issue。 状态： 修复已通过审查，已在本地提交。它已和下个版本的其他修复放在同一个集成分支上一起测试：带 kqueue,dev 标签的本地完整测试套件、本地执行的 CI 竞态检测选集，以及针对修复之间相互作用的对抗性审查，全部通过。尚未合并或发布。 简短结论 锁域分裂是真实的，继承自上游 MinIO，并且只在一个池中的各纠删集并不使用相同主机时才存在。 …

本文覆盖 Jasper Bernhardt（@dihmandrake）提交的 PR #280 中与演练（dry run）相关的部分，基于 main 69fcf50cd 评估。同一个 PR 还让深度扫描并发校验一个对象的各块盘。这项优化另行评审，不在本文范围内。该 PR 尚未运行 CI。 状态： 修复已通过审查，已在本地提交。它已和下个版本的其他修复放在同一个集成分支上一起测试：带 kqueue,dev 标签的本地完整测试套件、本地执行的 CI 竞态检测选集，以及针对修复之间相互作用的对抗性审查， …

本文记录 issue #265、贡献者修复 PR #266 与维护者后续修复 #276，并说明已经合入的 #264 与 #267 是相关前置修复。本文已于 2026-11-02 按 #276 合入后的 main 更新。#266 的 decommission 提交是 19910230a，rebalance 提交是 a995921e5。 更新（2026-11-06）。 生命周期删除不复制，S3 如此，SILO 的每个发布版本也是如此。#276 曾在 main 上短暂地让它们复制 …

本文记录 issue #263 与 PR #264 的审查结论，本文已按 #276 后的 main 0fc5a0b5 更新；#264 的合入提交记录为 0cfca29c。这个 PR 的三个提交是一组相互配合的修复，不是三个互不相关的 workaround。 先说结论 问题成立。free version 是 SILO 在删除 tier 远端对象期间留在 xl.meta 中的内部清理记录。它带有 delete-marker 类型和被删除版本的时间，但它不是用户版本。GET 已经忽略它，若干批处理路径 …

本文记录 issue #261 与 PR #262 的审查结论，本文已按 #276 后的 main 0fc5a0b5 更新。实际修复通过维护者 PR #267 合入，#262 是后来被取代的重复 PR。 先说结论 问题成立。一次成功的降级覆写可能让一个无版本对象同时存在两种 EC 布局：在线磁盘上有更新的副本，离线磁盘上保留旧副本。GET 与 ListObjectsV2 能选出更新的可读多数；decommission 与 rebalance 使用 all-versions 遍历，此时元数据合并可 …

本文审查 #261、#263、#265 及其对应的修复 #262、#264、#266，并记录维护者后续修复 #276。这是设计与审查记录，不是发布说明。本文已更新到 2026-11-02 的 #276 合入后 main。#264、#266、#276 已合入，#262 已被取代并关闭。 先看结论 问题 是否成立 对应 PR 的判断 建议处理 #261 成立。可读的混合 EC 对象可能从迁移列表消失，旧池删除后丢失。 窄范围修复已通过维护者 PR #267 合入；#262 已被取代。 已由 #267 …

2026-10-23 决策：mcli PR #44 已在 91006a587 合入 main。我们接受按 alias 配置区域的方案，保留小范围生产实现并补充回归覆盖。本文记录当时的设计决定。该能力已包含在正式发布的 mcli 20261109 中；以下配置边界按该版本源码复核。 原始补丁和测试由 mr javad seydi 贡献，解决的是上游 issue #5268 所报告的配置能力缺口。 缺少的究竟是什么 原始报告中的内部 S3 服务不实现 GetBucketLocation，调用时返回 …

SILO 通过 PGSTY KES（MINIO_KMS_KES_ENDPOINT）接入外部密钥管理系统。当前最新版本为 KES 20261026（使用 Go 1.27.3 构建并更新云服务依赖，保持本文的 API、配置与密钥格式不变）；此前的 PGSTY KES 20261018（源码 2f7e741db905）完成了将 AWS Secrets Manager 后端迁移至 AWS SDK for Go v2 的主体改造。 三个服务的职责边界 服务 负责内容 调用对象 SILO 对象字节流与对象加 …

本文记录 PR #233（验证提交 86c5a92eef3d，合并提交 d94b3b3c9251，随 Server 20261018 发布）的设计与验证。该补丁修复了旧版 xl.meta 版本头部与远程命名空间扫描响应在复用结构体时带入残留字段的问题。 问题概述 两处独立代码路径在复用 Go 结构体时未完整重置其逻辑状态，导致新输入中未出现的字段沿用了上一轮留下的旧值。修复直接落在明确知晓当前输入字段布局的解码器与响应构造处： 路径 触发条件 修复前状态 修复后状态 旧版 V2 版本头部 将旧版 …

Go TLS 默认值修复 48e184652 随 Server 20260916 发布后，issue #154 的报告人在该版本复测，OIDC discovery 仍然报同一条 connection reset by peer。与此同时，上游 Go 社区的同类 issue 将完全一致的症状定位到检查 signature_algorithms_cert 扩展并发送重置的 TLS 中间设备（见上游的同款案例）。本文在《Go 1.27 TLS 默认值与 OIDC Discovery 故障形态》的基础上 …

本文记录 2026-09-16 调查的对象列举漏项问题：未开启版本控制的存储桶在并发覆盖写下返回 HTTP 200 的列表，却漏掉了同一端点仍能正常 GET 的对象键。下文说明已确认的合并缺陷机制、提交 8d06424b1（随 Server 20260916 发布）的针对性修复与验证数据，以及在 #218 中跟踪、随后在 Server 20261018 中由 PR #239 关闭的滚动重启漏项边界（详见 LIST 恢复设计）。 缺陷机制 对象列举会合并被询问各块磁盘返回的版本流。当各盘状态不一致 …

SILO 工具链升级至 Go 1.27 后，Server TLS 修复 48e184652（“fix(tls): honor Go key exchange defaults across transports”，随 Server 20260916 发布）移除了 8 处 Server TLS 配置点上的显式椭圆曲线覆盖。本文记录 Go 1.27 在 TLS 层的变更细节、issue #154 排查总结的分阶段诊断方法，以及身份提供方（IdP）在启动阶段不可达时的健康检查端点行为。 关于发布后复测 …

本文记录 Server HTTP 读取截止时间的修复设计，该修复通过 PR #196 合入主干（提交 055030ea5），随 Server 20260916（40220bd836cbd066ca424fa4dc5dbb90057fb55a）发布。 排查源于慢速 HTTP DoS 扫描器报告（#183），并通过两组实验验证：一是直接 TCP 对照实验（请求头限制设为 100 ms、实际分批发送耗时 400 ms，标准 Go 服务拒绝该请求而旧版服务返回 204）；二是单盘进程探针验证（通过命令行 …

随 SILO Server 20260916（40220bd836cbd066ca424fa4dc5dbb90057fb55a）发布的 PR #194（修复提交 4fcdf37ce，合并提交 9f3037e941，采纳并保留 Mikhail Khadarenka 在 PR #187 中的实现），修复了可信复制接收端在恢复副本内部元数据时重新调用宽松请求头提取器、导致仅用于传输的 aws-chunked Content-Encoding 标记与 GHSA 已脱敏的用户元数据重新回流至落盘对象中的回 …

随 SILO Server 20260916（40220bd836cbd066ca424fa4dc5dbb90057fb55a）发布的 PR #193（修复提交 03027727d）与 PR #196（修复提交 680eac66e），修复了对象标签在跨桶复制中保持顺序的两项缺陷：SSE-KMS 目的端复制静默丢弃标签修订时间戳（R4），以及空标签值（删除操作）缺失修订时间戳导致延迟到达的复制事件将已删除标签“复活”（R5）。 共同模型：标签值与其修订时间戳共同构成单一状态 对象标签在复制时通过请 …

Server 20260916 通过 PR #157、PR #159、PR #163、PR #177 与 PR #179 修复了旧版 etcd 存储桶联邦（bucket federation）的 CopyObject 转发路径。当代理节点将跨集群复制作为远端 PutObject 转发到目标集群时，代理节点流式读取并发送源对象的逻辑字节，由目标端执行加密与 Object Lock 规则，校验完整对象校验和，并原样返回目标端实际提交的写入元数据。 转发一次逻辑字节，由目标端执行加密 代理节点在本地按 …

#77 是已在 Server 20260916（PR #180，提交 48ec10312）中修复的站点复制正确性缺陷。修复前，接收站点将对端事件的来源时间改写为本地到达时间（UTCNow），导致后续真正较新的删除请求因早于本地到达时间而被当作旧事件拒绝；同时部分配置在删除后不再导出时间戳，断连期间遗漏的删除也无法通过自愈（heal）恢复。仅补一个 DELETE 分支无法同时解决这两类问题，确定性收敛必须同时具备来源时间保留、持久化删除墓碑（tombstone）、规范化内容比较键以及整桶元数据锁。 …

本文记录随 Server 20260916 交付的三轮复制可靠性修复的问题分析、方案取舍与验收结论： 第一轮（PR #162，合并为 d1105bbb）： 修复 #153、#152 与 #137，分别涉及请求入口的操作分类、后台恢复队列的可观测性以及任务取消生命周期。 第二轮（PR #196，提交 0c61128d2）： 修复复制工作协程（worker）的删除出口、外层状态聚合与持久化 MRF 标记恢复路径（见第二轮小节）。 第三轮（提交 eb4f5e5b3、254b19ac0 与 …

本文记录 SILO 的未签名请求头覆盖修复（核心提交 123325430，经 PR #173 合入，安全通告编号 SN-2026-011）以及 PR #177 中的后续签名与载荷校验修复（安全通告编号 SN-2026-012）。上述修复已随 Server 20260916 发布。该漏洞由 Oren Yomtov 报告，并在本地预签名与 Authorization 请求头两条 SigV4 路径上复现。 核心结论（TL;DR） 预签名 PUT URL 可以只对 host 一个请求头签名。此前 …

本文记录通过 PR #101（提交 938603458 至 04b097fd9）合入 SILO、编号为 SN-2026-008 并随 Server 20260903 发布的 CORS 热路径与复制请求信任边界修复。 概览 两个表面上互不相关的缺陷，实际上源于同一个架构层面的设计失误： 任何携带 Origin 请求头的 HTTP 请求都会促使最外层 CORS 中间件把 URL 第一段路径当成存储桶名称，并在身份认证之前同步从磁盘加载该桶的元数据。 任何携带 …

本文记录 MCLI 只读 checksum 校验工作流，以及发布复核阶段发现的 non-TTY 输出缺陷 pgsty/mc#5 的设计与实现。该命令经由 pgsty/mc 的 pull request #8 与 #13 合入主干，并随 mcli 20260903 正式发布（已内置于 Server 20260903 容器镜像）。 核心概览 历史版本的 CopyObject 实现可能在压缩或加密后的底层存储字节上计算附加校验和（additional checksum），而非在 S3 GET 返回给客 …

本文记录提交 e73436c99（已随 Server 20260903 发布）中的 CopyObject SSE-C 校验和响应修复。该修复仅作用于目标对象成功提交后的 CopyObject XML 与 HTTP 响应生成阶段；已存储的对象字节、校验和元数据、加密格式、源对象解密、联邦复制与站点复制均保持不变。 概览 一次 SSE-C CopyObject 请求可以同时携带两套相互独立的客户端加密密钥： 角色 请求头 用途 源对象 …

本文定义 MINIO_CONFIG_ENV_FILE 的启动解析契约，并记录提交 2aea7fe9c（已随 Server 20260903 发布）中的兼容性修复。该文件是 SILO 的专用输入格式；为方便运维而支持可选的 export 前缀，并不意味着它是一段 POSIX shell 脚本。 概览 SILO 支持在启动时从指定文件加载环境变量： export MINIO_CONFIG_ENV_FILE=/etc/default/silo silo server /data 解析器接受如下形式的键 …

#48 与 #50 的修复已随 Server 20260903 发布，流式校验和后续修复（PR #143）已随 Server 20260916 发布。本文取代八月早期提案中“暂时保留 CRC64NVME 静默规范化”的结论。 20261018：消息文字与提交失败 Server 20261018 包含 #225、#229 与 #238 的消息格式修复：Content-MD5 大小写对齐 S3 规范、PutObject 与 UploadPart 校验失败时显示已知算法名，以及移除 …

随 SILO Server 20260903 发布的 PR #37（PR 提交 e9c5340be，合并提交 49c8aeac4，关闭 SILO #32），修复了 ListObjects、ListObjectsV2 与 ListObjectVersions 中三条提前返回（early-return）快捷路径在目标桶不存在时错误返回 HTTP 200 OK 空列表、而非 HTTP 404 NoSuchBucket 的 S3 兼容性回归。 太长不看（TL;DR） 对不存在的桶执行普通 …

本文记录 上游议题 minio/minio#21478、SILO PR #73（提交 58735ee38 / 2e2377d1c）以及 set-group-status 组状态权限善后提交（229fe2b3c）的鉴权设计与验证记录。上述修复已随 Server 20260903 发布。 太长不看（TL;DR） SILO 同时定义了 admin:EnableUser 与 admin:DisableUser 两项策略权限，但共用的 set-user-status 处理函数过去无论目标状态是什么，都固定 …

单对象条件删除（DeleteObject 上的 If-Match）由 PR #145 引入，随后 PR #178 修复了多池串行化与跨池清理。这两项改动均已随 Server 20260916 发布。 八月围绕 PR #12 的早期方案曾设想更宽的范围——包括批量 DeleteObjects 拒绝保护、额外的 s3:GetObject 读取授权检查，以及“仅比较当前版本”规则——但实际合入的实现并未采纳这些扩展。本文记录 f99ed829b 中已交付的契约，并阐述为什么前置条件判断必须位于单池存储 …

Shooks（@Dansyuqri）贡献的 PR #57 修复了 #47，并已随 Server 20260903 发布。当对象保存了附加 S3 校验和时，CompleteMultipartUpload 的 XML 响应现在会一并返回已存储的 ChecksumType 元素。 缺陷与范围 对 @cbornet 报告的 #31 的调查拆出了两个独立缺陷。CRC32 分片上传完成阶段的数据计算路径已由提交 c8590413f 与 3e14733f1 修复。但在分片上传成功完成后，虽然底层对象元数据保存 …

本文记录 SILO #46（合并提交 7fea6d5a5，随 Server 20260903 发布，后续延伸修复见 #63 与 #64）的设计与实现：如何围绕 S3 分片上传的可选校验和请求头，同时理顺分片合并（completion）语义、复制响应、压缩与加密数据流以及兼容性基线守卫。 太长不看（TL;DR） 分片上传（Multipart Upload，简称 MPU）会将大对象切分为多个分片（part）分别上传。AWS S3 允许客户端在上传每个分片时附带校验和（checksum），但将其定义为 …

在 SILO Console v2.1.1 中下载文件夹时，Downloads / Uploads（下载/上传）抽屉会显示 NaN%。尽管后端的流式 ZIP 归档仍在正常传输、底层存储对象也完好无损，但进度条却从“总量未知”错误地跳入了确定进度（determinate）渲染状态——导致运维人员误以为下载已卡死或失败，进而反复点击 Download。 该修复已随 Console 2.2.0（提交 16960f7ab，跟踪议题 #62）发布，并自 Server 20260903（edc8be6ed） …

随 SILO Server 20260903 发布的提交 f1ba68358 修复了 SILO #53，明确了 PostgreSQL 与 MySQL 桶通知目标的兼容性边界、旧配置迁移行为与启动期错误处理契约。 最终决策 SILO 保留 PostgreSQL 与 MySQL 通知目标（notification target），但每种数据库仅支持单一的规范配置键： PostgreSQL 必须提供完整的 connection_string； MySQL 必须提供完整的 dsn_string。 …

SILO Console 支持预览图片、PDF、音频和视频，但在 v2.1.1 中却无法直接查看日常运维最常检查的小型日志、纯文本、JSON 与 XML 对象。即使对象保存了准确的 Content-Type，前端也会在选择预览渲染器之前将其判定为不支持。 恢复旧版浏览器原生 <iframe> 预览虽然简单，却是错误的修法。存储桶中的对象内容完全由上传者控制；一旦将其作为同源 HTML 或 XML 文档加载，一个便利的预览功能就会退化为同源脚本执行边界。 随 Console 2.2.0 交付的设计 …