文件管理与治理

上传与版本

小文件使用简单上传，大文件使用分片续传。同名冲突可选择保留两者、覆盖为新版本或跳过。 网盘按扩展名黑名单与文件头识别限制内容，重命名也校验新后缀；分片完成时重新检查权限与签出锁。

秒传只复用当前用户有下载权限的节点引用的对象。版本回滚会创建新版本，不会覆盖历史记录。 版本引用、容量预留和超限裁剪在同一事务内处理。

外链

外链分两种：分享（预览 / 下载）与文件收集（他人向文件夹提交文件）。两者都可设置密码、有效期、访问次数、 IP / CIDR 白名单与备注；分享链接另可设置下载次数上限与预览水印。修改能力、密码、白名单、停用与撤销会使旧访问会话失效。 内容接口先检查权限并解析 Range，再打开一次对象流。同一访问会话中的同一文件下载只计一次，包括分片续传与重试；转存单独计入下载次数。

文件收集链接只能建立在文件夹上，能力位固定含 upload，可选 preview 允许提交人浏览已有文件。收集策略包括单文件上限 （不超过全局 collectMaxFileSizeMb）、允许的扩展名、是否要求填写姓名、累计收集上限。匿名提交以链接创建者身份落盘 （配额、内容策略、去重全部复用），同名自动重命名，动态记为「收集上传」且操作人为空；提交人姓名、备注与 IP 写入收集记录， 创建者收到「收集到新文件」通知。收集数量达到上限后链接进入「次数用尽」状态。

每条外链可生成二维码与短链（复用短链域，bizType=drive_share；撤销外链即停用短链）。开启预览水印的分享链接在公开页预览时叠加 「分享人 · 时间 · 访问 IP 尾段」；站内预览水印由全局设置 previewWatermarkEnabled 控制，对所有登录用户叠加「姓名 · 账号 · 日期」。 两种水印都是前端覆盖层，用于抑制随手截图外传，不是内容级安全边界，见总览。

外链与用户临时授权到期前 shareExpiryReminderHours 小时，定时任务分别提醒创建者与被授权人；延长有效期后会针对新的到期时间再提醒一次。

访问申请与在线状态

打开没有权限的文件或文件夹时，详情抽屉给出「申请访问」入口：申请人选择需要的角色（仅预览 / 可下载 / 可编辑）并填写理由， 节点管理者（空间所有者、部门负责人、显式 manager 成员或生效链上的 manager 授权）收到通知，在工作台「访问申请」中通过或拒绝。 通过时可调整实际授予的角色并设置到期时间，写入节点直接授权；同一人对同一节点同时只保留一条待审批申请，申请人可随时撤回。

详情抽屉打开期间每 25 秒上报一次心跳，标题栏显示还有谁正在查看同一节点（60 秒无心跳视为离开）。心跳经 Redis 汇聚，多实例部署下一致。

合规治理

网盘管理员在「网盘管理 → 合规治理」中集中处理法律保留、扩容审批、外链访问日志与开放应用授权；相关动作全部进入文件动态与操作日志。

法律保留

对文件或文件夹（含整棵子树）设置法律保留后，该范围内的节点不可删除、彻底删除、删除历史版本或跨空间移动， 也不参与回收站到期清理与版本上限修剪；空间内移动、重命名、预览和下载不受影响。回收站中的项目同样可以设置保留， 自动清理与「清空回收站」会静默跳过它们，手动彻底删除则返回 423。空间交接会把保留记录一并迁到目标空间，证据不会因归属变更而丢失。

保留需要填写原因，解除时可附说明，两者都通知节点管理者。文件详情抽屉展示「法律保留中」标记，管理员可在抽屉或合规治理页设置； 解除后记录仍保留供审计。

空间归档

空间管理者可把部门 / 协作空间归档为只读：上传、新建、重命名、移动、删除、授权与创建外链都被拒绝（423），预览、下载和已有外链继续可用。 归档空间默认不出现在侧栏，共享空间页勾选「只看已归档」可找回并恢复；个人空间不支持归档。

容量趋势与扩容申请

空间治理列表附带近 30 天的日均新增字节与按此增速预计的用满天数，30 天内用满的空间高亮提示。 配额有限的空间，其管理者可在共享空间页发起扩容申请（同一空间同时只保留一条待审批申请），网盘管理员在合规治理页通过或拒绝； 通过时可调整实际批准值，写入空间显式配额并通知申请人。

外链访问日志与异常行为告警

全部外链访问留痕（含被拒绝的尝试）可在合规治理页按空间、外链、动作、结果与时间筛选，并经导出中心导出（drive.share_access_logs）。 定时任务每 5 分钟按平台设置扫描一次滑动窗口：同一用户或 IP 的下载次数达到「批量下载告警阈值」，或同一 IP / 同一外链被拒绝次数达到 「外链爆破告警阈值」，即向网盘管理员发送「网盘异常行为告警」；同一主体在同一窗口内只告警一次。告警规则不依赖外部服务，阈值取平台值。

后台任务与存储回收

• 较大的下载包先流式写入临时文件，再流式上传到配置的存储后端，不在内存中拼接整包。
• 图片缩略图和文本索引进入持久化渲染队列，支持重试、版本检查与中断补投。
• 回收站中的版本仍占用空间。彻底删除释放逻辑配额，物理对象经过 24 小时宽限期后回收； 已开始删除的对象不会被秒传或新版本重新引用。

文件动态和外链访问日志按 UTC 月分区，清理仅删除上界早于保留截止时间的完整分区， 因此实际保留时间可能比配置多出不足一个月。预览动态按操作人、节点、外链和 10 分钟窗口去重。 累计访问与下载计数保存在外链记录，不因日志清理而丢失。