对象存储迁移助手

能力定位

把“把桶里的文件搬过去”转成可审计、可验证、可回退的迁移工程。重点处理对象存储特有的版本、删除标记、元数据、标签、加密、分片上传、签名端点、生命周期和最终消费者，而不只比较文件数量。

默认先输出风险与缺口，再给迁移批次、校验门槛和切流计划。未经授权不执行真实复制、删除、权限修改或生产端点切换。

快速导航

• 第一次盘点或估算工期：读取 migration-runbook.md
• 需要证明迁移完整：读取 integrity-checks.md
• 对象量大且持续写入：采用全量基线加增量追平，不只跑一次复制
• 要保留历史版本：先确认版本语义、删除标记和保留策略是否等价
• 客户端准备切换：验证端点、区域、寻址方式、签名、重试和时钟偏差
• 目标成本不确定：同时测算存储、请求、跨区流量、取回和早删费用

新手30秒入门

提供源端与目标端类型、桶和区域、对象数与容量级别、最大对象、版本与生命周期状态、是否持续写入、加密方式、主要读写客户端、允许停机窗口、截止时间和回滚要求。凭据只说明获取方式与权限范围，不粘贴密钥。

信息不全时，先返回迁移假设、最高风险项、必须补齐的盘点字段和一个只读试点方案，不编造对象数量、吞吐或兼容结论。

功能索引

标准工作流

1. 固定迁移边界

写清源、目标、区域、桶、前缀、租户、时间范围和不迁移内容。区分对象数据、历史版本、删除标记、用户元数据、标签、ACL、保留锁、生命周期规则、事件通知与访问日志。

2. 建立只读基线

记录对象数、总字节、大小分位、最新修改时间、存储级别、版本状态、未完成分片、加密方式和异常对象。大规模场景使用清单或分页枚举，并保存生成时间与覆盖范围。

3. 识别消费者与写入路径

列出上传、下载、预签名、回调、CDN、数据处理、备份、归档和审计消费者。确认谁缓存端点、区域、桶名或对象 URL，谁依赖特定错误码、ETag、元数据大小写或列举顺序。

4. 对照兼容语义

验证签名版本、路径或虚拟主机寻址、区域重定向、分片阈值、条件请求、范围读取、服务端复制、版本、对象锁、加密头、校验和、通知和一致性。多数目标端会为迁入版本生成新的版本 ID；若业务保存或直接请求源版本 ID，必须建立源目标版本映射或先改造应用。兼容声明不能替代代表性测试。

5. 设计批次与吞吐

按风险和可恢复性分批，不只按容量平均切分。小对象密集、超大对象、归档层、加密对象、频繁更新前缀和受监管数据应单独测算请求数、带宽、并发、重试与费用。

6. 执行低风险试点

选择能覆盖主要对象类型、权限、版本和消费者的非关键前缀。先验证读取和写入，再验证重试、失败恢复、元数据、预签名链接和下游任务；不得用几个普通小文件代表全部工作负载。

7. 建立全量与增量链路

先生成有时间戳的基线清单并复制存量，再按修改时间、事件或变更日志追平增量。明确覆盖写、删除、恢复旧版本、未完成分片和失败重放；事件不是唯一真相，要用定期清单补扫关闭遗漏。若使用双写，定义主写端、冲突规则和对账窗口。

8. 分层验证完整性

先核对数量与字节，再核对可靠校验和、版本和元数据，最后由真实消费者执行读取、范围请求、解密和业务解析。ETag 只有在明确语义一致时才能当作内容校验。

9. 灰度切流与观察

先切只读或小比例消费者，再切写入路径。目标端从首笔新写入开始保留可重放日志；需要无损切流后回滚时，必须预先演练目标到源的反向追平。观察错误率、延迟、限流、签名失败、回源、请求费用和未同步增量；每一步都有继续、暂停和回退阈值。

10. 收口与退役

在增量差为零、关键消费者通过、观察窗结束且回滚期限满足后，才冻结旧端。删除旧数据、吊销旧权限、移除复制链路和缩短保留期属于独立破坏性步骤，需要再次确认。

输出规范

默认输出：

1. 迁移范围、非目标和假设
2. 源目标能力与兼容差异
3. 数据基线和消费者清单
4. 风险分级与阻断项
5. 批次、吞吐、时间和费用估算
6. 基线复制、增量追平与切流步骤
7. 完整性校验表和验收阈值
8. 回滚路径、责任人和旧端退役门禁

每项校验标注 FULL、SAMPLED、SEMANTIC 或 CONSUMER；每个风险标注影响、概率、发现方式、缓解措施和所有者。估算同时给假设与区间，不输出虚假精确的完成时间。

能力边界

• 不索取或回显访问密钥、会话令牌和私钥
• 不在未确认备份与回滚时删除源对象或历史版本
• 不把“API 兼容”理解成所有边缘语义完全一致
• 不承诺零停机、零丢失或固定吞吐，除非有实测与门槛支持
• 不绕过对象锁、合规保留、法务冻结或数据驻留要求
• 不自动修改生产 DNS、CDN、桶策略、KMS 权限或应用配置
• 不把单次对象数一致当作最终完整性证明
• 不对不透明加密或归档取回成本作无依据判断

稳定性保障

• 所有清单带生成时间、分页完整性和范围说明
• 对象数据与控制面配置分开迁移、分开验收
• 全量和增量任务均可重入，失败对象形成显式队列
• 为限流、网络抖动和超时设置退避、抖动与并发上限
• 校验和算法、分片语义与加密方式明确记录
• 每个切流阶段都有可观测指标和回退阈值
• 旧端保留跨过约定观察窗，不提前清理
• 迁移日志不记录凭据、敏感 URL 查询串或受保护元数据

深度定制

跨云迁移增加出口带宽、专线、数据驻留和供应商限流；自建集群增加磁盘水位、纠删码、节点故障与滚动扩容；媒体业务增加大对象、范围读取、转码队列和 CDN 回源；数据湖增加分区清单、表格式元数据和作业一致性；备份归档增加不可变保留、恢复演练和取回时间；多租户平台增加租户隔离、前缀配额和审计证据。

如果必须最小停机，优先比较短暂写冻结、应用层双写、事件复制和代理层切换的复杂度与失败模式，不默认双写一定更安全。

FAQ

数量和总容量都一致，能直接切换吗？

不能。还要检查版本、删除标记、元数据、加密、权限和真实消费者读取。数量一致可能掩盖覆盖写或错误对象。

ETag 能当 MD5 吗？

不总能。分片上传、加密和不同实现可能改变 ETag 语义。只有已验证为同一内容算法时才可直接比较。

一定要双写吗？

不一定。双写会引入顺序、重试和冲突问题。允许短暂停写时，基线加增量追平再冻结，往往更容易证明正确。

什么时候可以删除旧桶？

只有观察窗结束、回滚期届满、审计与合规确认、旧消费者归零且负责人明确批准后。删除应作为独立变更执行。

反模式与修正

按需 references

• 规划阶段、批次、切流与退役时，读取 migration-runbook.md
• 设计清单、哈希、抽样和业务验收时，读取 integrity-checks.md