第 6 章 数据生命周期与删除

6.1.1 密文内容（最高优先保护对象）

• 对象存储中保存的密文分片（ciphertext || tag）。
• 平台不保存明文；明文仅在客户端出现并被短暂处理。

6.1.2 必要元数据（为运行所需最小集合）

系统为了完成传输与访问控制，可能保留必要元数据，例如：

• transferId、文件列表与 fileId。
• 公开加密参数：cryptoVersion、chunkSize、noncePrefix（不包含 CEK）。
• 有效期、大小、分片索引映射等（manifest/元数据）。
• 短期访问 token 的会话记录（查表）及其过期时间、作用域。

6.1.3 审计数据（仅发送方可见）

• 下载次数、下载进度、时间窗内活动等，用于交付证明与运营可视化。
• 审计数据必须与下载方视图隔离，仅对发送方授权可见（参见第 4 章）。

6.3.1 到期触发

• 系统 MUST 在 transfer 到达设定到期时间后将其标记为失效。
• 失效后 MUST 拒绝下载相关短期 token 的签发/续期，并拒绝读取 manifest/分片。

6.3.2 自动清理

• 系统 SHOULD 以异步任务清理到期 transfer 的密文与元数据。
• 清理任务 SHOULD 具备幂等性：重复执行不会导致状态不一致。
• 清理任务 SHOULD 采用可观测指标（队列积压、失败率）与告警（参见第 10 章）。

6.3.3 到期后的用户体验约束

• 下载方在到期后访问链接，客户端应提示“已到期/不可用”，不得继续尝试拉取密文。
• 发送方管理视图应显示到期状态，并允许查看（或导出）必要的审计摘要（如适用）。

6.4.1 删除/撤销语义

• 撤销：使下载提前失效（逻辑不可用）。
• 删除：撤销 + 触发后端清理（物理删除/回收）。

实现上二者可以共享相同流程：先使访问能力失效，再清理密文与元数据。

6.4.2 授权与审计

• 删除/撤销为有副作用操作，MUST 需要发送方身份授权（长期登录 token 或等价机制）。
• 系统 SHOULD 记录删除/撤销事件（不包含敏感材料），用于审计与问题排查。

6.4.3 立即失效要求

• MUST：撤销/删除后，服务端必须拒绝签发/续期下载短期 token。
• MUST：撤销/删除后，读取 manifest/密文分片的请求必须被拒绝（即使对象存储暂未完成物理删除）。

6.5.1 清理窗口

由于异步任务、分布式存储与缓存层存在，物理删除可能不是瞬时完成。系统应明确并控制清理窗口：

• MUST：逻辑失效必须立即生效（拒绝 token 与读取）。
• SHOULD：物理清理应在合理窗口内完成，并具备失败重试与告警。

6.5.2 缓存与边缘节点

• 对密文分片与 manifest 的缓存策略 SHOULD 谨慎：避免长时间缓存导致撤销后仍可被命中。
• 若使用 CDN/边缘缓存，MUST 确保鉴权在缓存前生效（例如采用私有缓存键、禁止共享缓存或显式 bypass）。
• 撤销/删除后 SHOULD 触发必要的缓存失效（若存在缓存层）。

6.5.3 临时文件与服务端残留

• 服务端 MUST NOT 写入明文到磁盘或持久化缓存。
• 服务端对密文分片的临时缓存（若存在）SHOULD 采用短 TTL，并在清理流程中显式回收。