62 lines
7.5 KiB
Markdown
62 lines
7.5 KiB
Markdown
# 照片保存与删除规则（待定稿）
|
|
|
|
2026-10-13。本文件区分已确认、已实施及待定稿规则，供本批协议定稿使用。私有目录、每日备份和独立密钥副本已按授权准备，见[落地记录](../照片存储配置落地-20261013.md)；照片生产配置仍关闭，正式协议未发布。
|
|
|
|
同日修订：用户已明确要求照片长期保存，备份副本滚动保留7天。在线照片不采用原建议的上传起30天到期；删除后元数据30天仍只是待确认建议。
|
|
|
|
## 首版用途与收集范围
|
|
|
|
照片仅用于按原资料类别保存用户主动选定的文件，供本人查看和删除。资料选填，不进入自填评估、匹配、模型、OCR或外部查询；不得把“上传”解释成审核。类别为身份证正反面、银行卡、收入证明、营业执照、银行流水和经营证明。
|
|
|
|
身份证和金融资料的收集必要性须与这个用途相匹配。仅本人保管而没有进一步审核用途时，应评估是否确有必要保存完整证件、账户或流水；建议引导遮盖无关敏感字段。不能仅因为存在类别入口就要求每类必传，也不能用头像公开路径保存私有照片。
|
|
|
|
## 现有操作规则
|
|
|
|
| 操作 | 目前已实现的行为 |
|
|
| --- | --- |
|
|
| 上传 | 有效本人会话和未撤销的资料同意记录；单张真实 JPG/PNG，原文件和处理后文件不超过5MiB；边长不超过4096、像素总量不超过400万；重新编码后加密保存 |
|
|
| 显示 | 上传后在原卡片显示，卡片菜单查看/删除；同类多份逐份选择，离页后从本人服务端记录恢复 |
|
|
| 读取 | 本人登录鉴权后读取；撤销同意不影响本人查看既有照片；没有公开文件地址 |
|
|
| 撤销授权 | 禁止基于该同意记录继续上传；不自动删除既有照片，保留本人查看/删除入口 |
|
|
| 删除 | 先提交不可读标记，再移除在线文件；文件确认不存在才返回成功；物理删除失败可对原 ID 重试 |
|
|
| 删除后记录 | 保留资料元数据和同意关联；不自动清理元数据、授权记录或备份 |
|
|
| 未知上传回执 | 手动重试可能另存一份；已提交入表的资料可重新读取，未入表的孤立密文不会自动进入本人卡片 |
|
|
| 关闭服务 | 拒绝上传/下载/删除并返回空资料引用；不会自动删除磁盘已有密文。因此已经启用后不能用关闭开关代替退场处理 |
|
|
|
|
后端所有本人管理接口均要求资料服务可用。因此发生安全事件需要暂时关闭时，应提供有效申请渠道并由授权人员处理本人删除请求，不能把用户长期困在无法删除的状态。
|
|
|
|
“撤销不自动删除”只是接口现状。仅基于同意保存的照片在同意撤回时需依法处理删除，正式启用前应安排运营人员处理撤销后的删除；不能把用户未再次点击删除当作无限期保留的授权。依法有独立留存依据的，单独限制范围并向用户说明。
|
|
|
|
## 在线长期保存与其他副本期限
|
|
|
|
在线照片长期保存和备份滚动7天均已由用户确认，目录与备份任务已准备。完成物理删除后元数据30天仍只是建议，不实施元数据清理或当作已生效期限。
|
|
|
|
| 数据 | 规则或建议 | 清理方式及目前缺口 |
|
|
| --- | --- | --- |
|
|
| 照片在线文件 | 账户正常使用且仍需平台为本人保管时长期保存，不设固定到期时间；本人删除、用途结束、撤销授权后的依法处理及注销申请按规则执行 | 原代码没有固定到期删除，符合长期保存方向；落实本人管理和必要删除申请处理，不新增照片到期清理功能 |
|
|
| 照片备份副本 | 每日备份，滚动保留7天，用户已确认 | 每次成功备份后清理创建时间超过7天且校验有效的本工具旧包。停机、失败或损坏包可能延迟清理，需及时处理；在线删除不即时清除旧副本 |
|
|
| 照片删除后元数据 | 在线文件确认删除后最多30天，再删除或去标识化 | 仅为失败恢复、处理申请和核对删除；现有表没有此项清理，不将剩余记录无限期保留 |
|
|
| 同意和撤销证据、账户及报告 | 按独立的最短必要期限定稿 | 不照搬照片期限；需结合实际目的及适用保存义务明确，当前没有自动删除规则 |
|
|
|
|
长期保存用于持续的本人保管和查看，不代表永久保存承诺或撤销后任意留存。7天备份只涉及滚动备份副本，副本过期不删除在线照片；删除后元数据30天也不适用于仍在使用的照片。首份手动备份为空资料快照，定时触发和实际照片恢复尚未验收；不能将配置准备描述为全部恢复能力已验收。
|
|
|
|
## 已落实配置与后续处理
|
|
|
|
私有目录已设为public同级、www:www/0700，实际FPM合成读写通过；备份目录root:root/0700，备份每日04:20运行、有效旧包按7天滚动清理。现有共享密钥另存本机DPAPI CurrentUser副本，独立进程已通过指纹及合成解密校验。照片包只含密文、对应元数据及协议/同意证据，不含密钥或.env；当前没有异地照片副本。具体范围和恢复边界以[落地记录](../照片存储配置落地-20261013.md)为准。
|
|
|
|
以下保留完整处理顺序，目录、备份与密钥准备已完成，申请渠道、责任人和其余期限仍待定稿：
|
|
|
|
1. 按已确认的在线长期保存方向，定稿其他副本期限和申请渠道，明确负责删除申请及处理失败的人。
|
|
2. 检查并选用 Web 公开目录以外的私有目录；运行用户只取得必要权限，加密文件采用0600，不映射公开下载。目录路径和密钥不写入对外协议。
|
|
3. 核实密钥与数据的恢复关系、容量，以及现有备份实际范围。备份同样使用访问控制，密钥按既有密钥体系受控保管；不把私密归档当作无限备份。
|
|
4. 形成本人删除、撤销后处理、用途结束和注销申请清单，核对账户/资料 ID/准确文件范围。通过与业务相同的归属和删除状态规则处理，保留最小结果记录；不得只删除数据库行，也不得对未解析目录进行递归删除。
|
|
5. 核查未知回执产生的孤立密文：先与完整资料表及正在处理的上传核对，明确归属和安全时间边界，再针对确认的文件清理；不能因暂时查不到行就立即删除正在上传的文件。
|
|
6. 按最终确认的期限清理过期备份副本，保留仍在正常使用的在线照片。恢复旧备份时，将备份后的删除和撤销记录作为保护条件，不能让已删除或应处理删除的照片恢复为可读资料。
|
|
7. 协议和实际安排对应后，才按明确目标配置和启用。维护或退场时先处理待删除照片和申请，保留必要密钥与管理能力；不能直接关开关后丢弃密钥。
|
|
|
|
本轮只实施存储、备份和密钥准备，没有业务数据清理、生产恢复或照片启用；不创建新的清理worker或复杂配置层。后续启用时以真实状态核对正文与申请处理安排。
|
|
|
|
## 已确认方向与待落实条件
|
|
|
|
在线照片按用户要求长期保存，不设固定到期时间；备份7天已确认并落实。完成物理删除后的资料元数据30天仍只是待确认建议，其余数据期限分别定稿。主体、联系方式和删除申请处理责任暂无；目录/权限、备份及密钥准备已完成，见[落地记录](../照片存储配置落地-20261013.md)。草案、技术检查及配置准备不等于照片已经启用或正式验收。
|