第 10 章：日誌、監控與事件應變

10.1.1 傳輸生命週期事件

• 建立傳輸（產生 transferId）
• 區塊上傳完成（以密文層級記錄，而非明文）
• 清單（manifest）寫入／更新
• 到期清理、使用者刪除／撤銷（包含清理任務的觸發與完成）
• 下載開始／完成（以密文下載層級計量）

10.1.2 驗證與授權事件

• 工作階段權杖的核發與驗證失敗（範圍不符、已過期、已撤銷等）
• 長效登入權杖驗證失敗（管理操作遭拒）
• 可疑的存取模式：401／403／404 異常暴增

注意：僅記錄「結果與原因碼」。不得（MUST NOT）記錄權杖明文、Authorization 標頭明文，或簽章參數明文。

10.1.3 系統健康與效能指標

• 請求延遲（p50／p95／p99）、錯誤率、吞吐量
• 物件儲存讀寫失敗率、回源失敗率、重試次數
• 邊緣節點異常、佇列積壓、背景清理任務成功率
• 頻寬與流量趨勢（彙總維度）

10.1.4 安全防護事件

• 速率限制觸發、WAF／防火牆規則命中
• 疑似列舉／暴力破解行為的門檻觸發
• 異常的並行與流量模式（同一來源的高並行、資源熱度異常）

10.1.5 彙總與取樣

• SHOULD（應）：依分鐘／小時彙總計數與延遲分位數，以減少細粒度日誌。
• SHOULD（應）：對高頻的成功請求進行取樣，僅在錯誤與異常路徑上保留必要的細節。
• SHOULD（應）：對異常事件保留穩定的分類欄位（例如 eventType、reasonCode），以利稽核與機器分析。

10.2.1 伺服器端不得（MUST NOT）記錄

• CEK（內容加密金鑰）及任何可推導的素材
• URL 片段（#...）、location.hash，以及含有片段的完整 URL
• 明文內容：檔案明文、預覽內容、已解密的區塊，或任何明文摘要
• 敏感憑證明文：工作階段權杖、長效權杖、Authorization 標頭明文、簽署 URL 中的簽章欄位明文

若為除錯而必須記錄 URL：必須（MUST）先進行清理（移除片段；遮蔽或移除敏感的查詢參數），並在程式碼層級強制執行（而非仰賴人工約定）。

10.2.2 用戶端不得（MUST NOT）記錄

• 正式環境中不要輸出 location.href（可能包含片段）
• 錯誤回報中不得包含帶有片段的 URL、CEK 或 noncePrefix
• 除錯日誌與開發工具輸出應預設停用或降到最低

SHOULD（應）：在前端封裝統一的日誌／回報函式，於輸出／回報前，在內部完成 URL 清理與敏感欄位過濾。

10.3.1 可用性與效能告警

• 錯誤率告警：5xx 暴增、4xx 異常上升（需區分驗證失敗與濫用）
• 延遲告警：p95／p99 超過門檻、各區域回源異常
• 儲存告警：物件儲存寫入失敗增加、讀取逾時
• 清理任務告警：到期清理積壓、刪除任務重試次數過多

10.3.2 安全性告警

• 速率限制命中率異常上升
• 同一來源的 401／403／404 高頻出現，疑似列舉／暴力破解
• 單一資源的下載頻寬／並行數異常，疑似流量灌爆或盜連
• 關鍵政策變更（例如 WAF 規則、CSP／標頭變更）應觸發變更稽核與告警（如適用）

10.3.3 告警治理

• SHOULD（應）：將告警分級（P0／P1／P2），並設定輪值／升級路徑。
• SHOULD（應）：對雜訊較多的指標套用防抖動／時間窗彙總，避免告警疲勞。
• SHOULD（應）：每則告警附上最小限度的診斷資訊（原因碼、趨勢圖、受影響的區域／路由），且不得包含敏感資料。

10.4.1 常見異常模式

• 列舉：短時間內大量探測 transferId／資源路徑，404／401／403 暴增。
• 暴力破解：對短碼／密碼／權杖進行高頻嘗試，失敗率曲線異常。
• 流量灌爆：單一資源的頻寬異常、同一來源大量並行連線、重複下載。
• 協定異常：區塊順序不合理、重複上傳、頻繁中斷／重試、異常的 UA 模式。

10.4.2 緩解策略（原則）

• SHOULD（應）：採用速率限制、分級封鎖、挑戰機制（如適用），並依 ASN／地區／指紋動態調整政策。
• SHOULD（應）：對容易誤判的路徑（一般使用者可能頻繁下載）採用較溫和的策略（例如延遲、分段節流）。
• MUST（必須）：為所採取的處置保留可稽核的觸發依據（原因碼、門檻類別），並提供申訴支援管道（如適用）。