文件和异步链路上，上线后才暴露的几处漏洞
问题原话：这两周上了文件上传和消息队列，功能测试全过、验收也签了，为什么上线一个月后还是接连出事？
先答：因为功能测试覆盖的是「有人操作、一次成功」的路径，而文件和异步链路的漏洞几乎全在反面——没人操作的地方、时间拉长才现形的地方。中断、重复、积压、静默，四个词能圈住绝大多数事故。逐处列出来，每处给防线：
| 漏洞 | 测试为什么测不到 | 防线 |
|---|---|---|
| 分片上传中断，没传完的碎片留在桶里一直计费 | 测试传的文件都传完了 | 生命周期规则中止未完成分片，超期自动清理 |
| 回调丢失，桶里有、附件表没有 | 测试环境回调从不失败 | 服务端回调之外再加一道对账，定期扫桶比对 |
| 预签名 URL 整条进访问日志，而 URL 本身就是权限 | 功能正常，日志没人翻 | 日志脱敏签名参数，有效期压短 |
| 消息重复消费 | 本地队列为空不重投 | 唯一键加状态 CAS（更新前先确认状态没变），每个消费接口必配 |
| 死信堆着没人看 | 测试没有持续失败的毒消息 | 死信告警加管理页批量处置 |
| 定时任务悄悄漏跑 | 测试当天手动触发都跑过 | 每次跑完记一条「跑到哪天成功」的水位，每天检查「昨天是否 DONE」 |
六处的共同点值得说破：测试环境的对照组太干净——回调不会丢、队列不重投、没人发版重启、没有时间流逝。这些条件在生产全是奢侈品。所以防线的形状也一致：要么对账（两边清单定期比对），要么心跳（最后一次成功的时间可见），要么时限（每个自动动作配一个「多久没人处理就告警」）。三样都没有的环节，就是下一场客诉的位置。
系列：本系列 对象存储：目录、权限、生命周期 ｜ 什么时候真的需要消息队列 ｜ 技术纵深系列索引