对象存储 SDK、临时 URL 与权限：对象访问怎样被委托且可撤销
用户退出项目后，之前复制的下载链接仍能访问文件；上传链接还可以反复 PUT，最后一次内容覆盖了已经审核的版本。服务端当初只检查了“生成 URL 时有权限”，却没有把 method、key、version、checksum、大小和业务状态绑定进能力。临时 URL 缩短了权限寿命，但没有自动获得撤销、一次性和不可覆盖语义。
S3 presigned URL 以签发者凭证的权限创建限时访问能力，可指定 bucket、object key、HTTP 方法和到期时间；有效期内通常可重复使用，PUT 到既有 key 还可能覆盖对象。它是 bearer capability，不是一次性业务授权，也不会在签发后持续回查应用权限。
从请求入口画出真实字节路径
业务表使用 fileId 表示稳定身份，保存 tenant、owner、purpose、classification、currentObjectVersion 和状态；对象 key 使用服务端生成的随机/散列路径，不拼接原始文件名。上传先指向 quarantine key，完成后校验并复制或标记为 immutable visible version。下载签发前按 fileId 做对象级授权，再把明确 version、response headers 和短 TTL 写入 presign；审计记录 capabilityId 与签发原因，不记录完整签名 URL。
关键提交窗口怎样形成
应用进程使用工作负载身份或短期凭证调用 SDK，权限限定 bucket/prefix/action，并把管理面 delete、lifecycle、policy 与数据面 get/put 分开。presigned PUT 不能安全表达的限制要由 POST policy、网关或完成回调补充；无论哪种方式，都要在提交前 HEAD 对象，验证 size、checksum、encryption、contentType 和元数据。撤销紧急能力可切换 objectVersion/key、修改 bucket policy 或停用签发凭证，但这些动作各有传播与影响半径，不能承诺瞬时单 URL 撤销。
六个状态节点逐段落地
解析业务 FileId
进入“解析业务 FileId”时记录 fileId/uploadId、objectVersion、实际字节、checksum、owner、状态版本与 deadline。正向实验断言字节、状态和业务引用守恒；反向实验在流关闭、对象提交或状态回写前后制造断连与超时，确认临时资源有归宿、UNKNOWN 能对账、迟到写不能覆盖新版本。
执行对象级授权
进入“执行对象级授权”时记录 fileId/uploadId、objectVersion、实际字节、checksum、owner、状态版本与 deadline。正向实验断言字节、状态和业务引用守恒；反向实验在流关闭、对象提交或状态回写前后制造断连与超时，确认临时资源有归宿、UNKNOWN 能对账、迟到写不能覆盖新版本。
绑定 Key 与 Version
进入“绑定 Key 与 Version”时记录 fileId/uploadId、objectVersion、实际字节、checksum、owner、状态版本与 deadline。正向实验断言字节、状态和业务引用守恒；反向实验在流关闭、对象提交或状态回写前后制造断连与超时，确认临时资源有归宿、UNKNOWN 能对账、迟到写不能覆盖新版本。
签发受限能力
进入“签发受限能力”时记录 fileId/uploadId、objectVersion、实际字节、checksum、owner、状态版本与 deadline。正向实验断言字节、状态和业务引用守恒；反向实验在流关闭、对象提交或状态回写前后制造断连与超时，确认临时资源有归宿、UNKNOWN 能对账、迟到写不能覆盖新版本。
完成后再校验
进入“完成后再校验”时记录 fileId/uploadId、objectVersion、实际字节、checksum、owner、状态版本与 deadline。正向实验断言字节、状态和业务引用守恒；反向实验在流关闭、对象提交或状态回写前后制造断连与超时，确认临时资源有归宿、UNKNOWN 能对账、迟到写不能覆盖新版本。
撤销或轮换版本
进入“撤销或轮换版本”时记录 fileId/uploadId、objectVersion、实际字节、checksum、owner、状态版本与 deadline。正向实验断言字节、状态和业务引用守恒；反向实验在流关闭、对象提交或状态回写前后制造断连与超时，确认临时资源有归宿、UNKNOWN 能对账、迟到写不能覆盖新版本。
文件不是一个字段，而是一条跨资源事务
业务看到的是 fileId，存储看到的是 object key/version，请求看到的是 part 或 byte stream，扫描器看到的是隔离对象。四种身份不能混用：原始文件名只用于展示，不能成为路径和授权键；object key 不暴露业务权限；checksum 证明字节一致，不证明内容安全；数据库状态决定是否可见，却不能单独证明对象真的存在。最小模型保存 fileId、uploadId、objectVersion、checksum、size、mediaType、owner、classification 与状态版本。
流式只成立在所有缓冲都有上限时
InputStream 本身不保证低内存：ByteArrayOutputStream、SDK retry buffer、异步队列、压缩器和解析器都可能重新聚合整个对象。逐段记录 buffer 大小、在途块数和所有权，令峰值近似 buffer × concurrent streams × pipeline stages，再与容器堆、直接内存和临时盘预算对齐。读写速度不匹配时，上游必须暂停或拒绝，不能用无界缓存吸收。
资源关闭覆盖成功、客户端断连、deadline、大小越界、checksum 失败、扫描拒绝和应用停机。关闭顺序先停止读取和新分片，再取消下游请求，最后关闭流、删除临时文件或 abort 会话。只在 finally 删除一个本地路径，处理不了已经提交到对象存储的 parts 与派生产物。
完整性、安全性和业务有效性是三条证据
下载也是受控数据流
大对象下载记录首字节时间、发送字节、客户端断连、存储读取耗时和实际区间；成功计数应在约定字节写完后增加，而不是拿到 SDK response 就增加。缓存按不可变 version 建键，覆盖更新生成新 key/version，避免旧授权与新内容串线。
观测与对账要覆盖数据库和对象存储两边
reconciler 双向检查：数据库 READY 引用必须能 HEAD 到匹配 version/checksum；隔离和临时前缀中超过宽限的对象必须对应活跃会话或被清理；派生产物必须关联源 version；DELETED 状态必须证明在线副本不可读。列表接口通常只用于候选发现，删除前再次以条件和版本确认，避免清理并发新上传。
发布和回滚必须保持对象格式与状态兼容
升级若改变 key 规则、checksum、加密、媒体识别或导入 Schema，先让新版本双读旧状态，再灰度新写；后台迁移用 operationId 和 checkpoint，不能边枚举边覆盖原 key。回滚要确认旧版本能识别新状态和 objectVersion，否则宁可暂停领取，也不能把 UNKNOWN 当失败重传。
验收用固定字节样本和恶意边界样本同时验证：正常流、慢上传、断连、大小欺骗、同 part 冲突、complete 响应丢失、Range、扫描超时、对象覆盖、临时盘满和删除竞态。修复前稳定违反不变量，修复后同一故障被状态机吸收且资源水位回到基线。
反向实验要击中资源与状态的交界
同一个可预测 key 用于覆盖更新，会让 CDN、浏览器缓存和审计都失去版本边界；删除旧业务引用却保留公开 ACL，又会形成孤儿泄漏。SDK 默认重试在大请求上可能重复消耗带宽，连接池和 async pending 必须受限。服务端加密不替代对象级授权，KMS 权限过宽还会让跨前缀密文被同一身份解密。 实验固定文件字节、并发、缓冲、存储版本和故障点，保存容器临时目录、对象元数据、数据库状态与连接水位。修复后复用相同样本，既证明错误被拒绝或恢复，也证明堆、临时盘、parts 和连接回到稳定基线。
两个 Java 17 模型固定量化见证
模型执行真实计算和断言，把框架日志容易掩盖的流量或状态不变量压缩成确定输出。
javac --release 17 -Xlint:all -Werror examples/backend-development/file-storage/object-storage-sdk-url/ObjectKeyCapabilityDemo.java examples/backend-development/file-storage/object-storage-sdk-url/PresignedPolicyDemo.java
java -cp examples/backend-development/file-storage/object-storage-sdk-url ObjectKeyCapabilityDemo
java -cp examples/backend-development/file-storage/object-storage-sdk-url PresignedPolicyDemofileId=f-17 versions=2 current=v2 immutableKeys=2 overwrite=false staleUrlReads=v1 isolated=true
method=PUT ttlSeconds=300 keyBound=true checksumBound=true maxBytesBound=true reusable=true leastPrivilege=true工程验证再替换成真实 Servlet、对象存储、解析器与数据库，保留相同 fileId/uploadId、状态迁移和输出不变量；模型字符串不能替代实际断连、覆盖、扫描和清理实验。
架构选择由数据流和授权新鲜度决定
应用代理下载适合需要每次实时授权、小对象和强审计；presigned URL 适合大对象数据面卸载，但使用短 TTL、不可变 version 与受限方法；CDN signed URL/cookie 适合大量分发和边缘缓存；公开对象仅用于真正公共且无撤销要求的内容。选择时比较授权新鲜度、带宽成本、缓存、撤销和日志完整性。
发布门禁要证明生命周期闭环
发布时必须守住“业务授权只映射到明确方法和不可变对象版本，泄漏的能力不会扩大到其他 key 或长期覆盖”。验收同时覆盖正常、慢、断连、重复、结果未知、权限撤销和清理恢复；核对接收字节、最终对象、业务引用、临时对象和删除结果。任何临时放宽都绑定 owner、影响前缀、补偿扫描和到期条件，过期自动阻断。