PGSTY SILO 博客 on SILO

为 SILO 提供多语言支持

Mon, 09 Nov 2026 00:00:00 +0000

解释 SILO 为什么增加十种 UI 语言、如何组织注册表和维护分级，以及逐语言压缩、静态全量加载在体积、缓存与实现成本之间的取舍。

mcli 20261109：数据安全与自动化修复

Mon, 09 Nov 2026 00:00:00 +0000

mcli 20261109 已正式发布。 tag 为 RELEASE.2026-11-09T00-00-00Z，软件包版本为 20261109000000.0.0，源码提交为 e1d4cc5abfe0。本文记录相对 20261026 的变化。

SILO Console 2.7.0：十种语言、用量后台任务与容器修复

Mon, 09 Nov 2026 00:00:00 +0000

Console 2.7.0 将管理界面扩展到十种语言，修复容器 HTTPS 与临时文件问题，采用已正式发布的 mcli 20261109、silo-pkg 3.16.0，并更新 API 文档；同时修复发布前最终审查发现的问题：用量后台任务的 TLS 与调度、普通 HTTP 下的目录大小计算，以及畸形上传请求。发布状态与制品见 GitHub Releases。

silo-pkg 3.16：JOSE 安全更新与配置修复

Sun, 08 Nov 2026 00:00:00 +0000

silo-pkg v3.16.0 是 github.com/pgsty/silo-pkg/v3 的源码维护版本，要求 Go 1.27.3，与 v3.15.2 保持 API 兼容。Server、Console 与 mcli 只有在采用新版本并重新构建后才会获得更新；库发布不会替换这些应用已有的发布制品。

两阶段原生恢复

Fri, 06 Nov 2026 00:00:00 +0000

解释原生恢复为何在整个 tier 下载期间持有对象锁，#281 的第一版修复为何还会让失败的普通上传卡住，以及在锁外暂存、再做一次短暂且经过核验的提交，如何取代私有 upload。

局部视图不能把存在的对象报成不存在

Fri, 06 Nov 2026 00:00:00 +0000

只能连上纠删集部分盘的节点，为什么会对一个存在的对象返回 404 NoSuchKey；以及为什么只在所有盘都应答时才把元数据不一致判为“不存在”，就是最小而完整的修复。

Multipart 提交失败可能让上传卡死

Fri, 06 Nov 2026 00:00:00 +0000

未达到写 quorum 的 CompleteMultipartUpload，为什么会在 rename 已成功的盘上毁掉这个上传，使它一直卡到过期清理；以及为什么修复要等到存储操作能够加 fencing 之后再做。

SILO Console 2.6.0：用量扫描与存储桶管理改进

Thu, 05 Nov 2026 00:00:00 +0000

Console 2.6.0 已于 2026-11-05（UTC+8）正式发布，接续 2.5.1。 GitHub Release 记录了源码提交 f8ab146695fd1df74e4b84128a286d552921bf00、发布制品与验收证据。这是独立 Console 发布，Server 内嵌控制台按服务端的发布周期交付。

失败写入与幽灵空前缀

Wed, 04 Nov 2026 00:00:00 +0000

解释暂存数据已经消失的写入，为何会留下一个空的对象目录，并在之后表现为一个下面什么都没有的公共前缀；以及为什么在重命名失败路径上清理空目录，是最小而完整的修复。

Peer 重载后的审计 Webhook

Wed, 04 Nov 2026 00:00:00 +0000

解释运行时修改 audit_webhook 后，为什么除了处理该请求的服务器以外，其他每台服务器上的 Webhook 目标一创建，worker 就已经退出；哪些子系统有同样的缺陷；以及为什么用服务器进程上下文构建日志目标，是最小而完整的修复。

生命周期"删除全部版本"只能作用于一个 key

Wed, 04 Nov 2026 00:00:00 +0000

解释生命周期或批量过期对一个 key 执行"删除全部版本"时，为何会连带删除名字位于该 key 之下的所有对象，以及为什么在对象锁内复核后、按版本 ID 清除该 key 自身的版本，是最小而完整的修复。

恢复副本：过期的是副本，不是对象

Wed, 04 Nov 2026 00:00:00 +0000

解释当前版本的恢复副本过期时，为何会隐藏对象或抹掉更早的 null 版本；为什么按精确版本定位是核心修复；以及哪些存储层和原生恢复防护必须与它一起交付。

多池生命周期过期：按整个对象决策

Wed, 04 Nov 2026 00:00:00 +0000

解释生命周期规则只按单个池内的版本求值时，为何会隐藏、删除或复活另一个池中的版本，以及为什么在对象锁内按合并后的版本列表复核，是最小而完整的修复。

大型单池集群的锁域

Wed, 04 Nov 2026 00:00:00 +0000

解释在纠删集不共享相同主机的分布式单池部署中，DELETE 与 CopyObject 为何可能无法与同一键上的 PUT 互斥；哪些布局受影响；竞争对 xl.meta 造成什么后果；以及关闭它的最小路由改动。

Heal 演练不能删除数据

Wed, 04 Nov 2026 00:00:00 +0000

解释以演练（dry run）方式运行的管理 heal，为何在对象版本的元数据没有读 quorum 时仍可能删除悬空版本；为什么五行的提前返回是本次发布的正确修复；以及为什么同一修复还必须在桶 heal 中把演练标志传给远端节点。

Console 的桶配额：列表显示与数值校验

Wed, 04 Nov 2026 00:00:00 +0000

解释为什么在 Web Console 里设置的配额在桶列表中显示为短横线，为什么创建桶的表单会把 1000 Ei 变成 1 字节配额、又拒绝 0.5 Gi，两个缺陷分别出现在哪些发布中，以及为什么共用一个配额读取规则和一套换算与边界检查，是最小而完整的修复。

ILM 过期与存储池迁移顺序

Tue, 27 Oct 2026 00:00:00 +0000

解释生命周期过期与存储池迁移为何对版本桶当前对象产生不同判断、#266 修复了什么，以及 #276 如何补齐 tier 和生命周期安全边界。

Tier free version 是内部清理记录

Tue, 27 Oct 2026 00:00:00 +0000

解释 tier free version 是什么、为何把它当作普通版本会破坏生命周期与存储池迁移，以及 PR #264 为何是最小完整修复。

混合 EC 布局与迁移列表

Tue, 27 Oct 2026 00:00:00 +0000

解释同一个对象存在两种可读纠删码布局时，为何会从 decommission 与 rebalance 列表中消失，以及 PR #262 为何是最小且安全的修复。

存储池迁移完整性审查：#261、#263 与 #265

Tue, 27 Oct 2026 00:00:00 +0000

对三个存储池迁移问题的维护者审查：混合纠删码布局、tier free version，以及生命周期过期顺序。本文记录根因、最小安全修复、验证证据与合并顺序。

SILO 一年回顾：相比上游 MinIO，我们到底干了什么？

Mon, 26 Oct 2026 00:00:00 +0000

从 MinIO 最后公开发布的 2025-10-15 到 SILO 20261026：376 天、604 次提交。本文用一张完整的工程账本说清楚：过去一年里，SILO 在安全边界、S3 协议与校验和、复制与生命周期、存储写入与多池保护、Console 与 mcli 以及运维交付上到底干了什么，又有哪些边界仍未改变。

silo-pkg 3.15：Go 1.27.3 与 S3 SDK 修复

Mon, 26 Oct 2026 00:00:00 +0000

silo-pkg v3.15.2 现已正式发布（源码提交 0416eb1f4505），由 SILO 20261026 组件栈以 github.com/pgsty/silo-pkg/v3 模块路径直接引入。本文完整汇总自 v3.14.3 以来的 3.15 系列更新（v3.15.0、v3.15.1 与 v3.15.2）。

3.15.0：Go 工具链与共享依赖升级

模块最低 Go 版本要求由 1.26 提升至 1.27.3，并同步更新了 13 个直接依赖模块：JWX 3.4.0、etcd api / client/pkg / client 3.7.3、gRPC 1.84.0、grpc-gateway 2.32.0、go-json 0.11.2、swag/conv 0.29.2、go-colorable 0.1.16、cpuid 2.4.1、fwd 1.2.1，以及固定在 ce908d29299b 的两个 Google API/RPC 生成模块。

SILO Console 2.5：界面与管理功能更新

Mon, 26 Oct 2026 00:00:00 +0000

SILO Console v2.5.1 现已正式发布（源码提交 fff1618d9abb），同时作为 SILO 20261026 的内嵌控制台交付。本文完整汇总自 v2.4.2 以来的 2.5 系列变更，涵盖 v2.5.0 的界面重构与 v2.5.1 的问题修复。

GitHub Release · 下载 · 完整源码对比

导航、概览与监控指标

2.5 系列重构了整体界面视觉与交互：采用柔和的明暗主题配色、系统原生字体、统一的信息密度、Lucide 图标库、清晰的键盘焦点样式，并支持系统的“减少动态效果”（Reduced Motion）偏好。移动端抽屉与平板窄侧栏针对小屏做了专门适配，对象详情在移动端以可恢复焦点的底部抽屉呈现，同时完整保留中英双语切换、无障碍控件与开源许可署名。

SILO 20261026：Server、mcli 与 KES 联合发布

Mon, 26 Oct 2026 00:00:00 +0000

SILO、mcli 与 PGSTY KES 20261026 现已联合发布，配套 SILO Console 2.5.1 与 silo-pkg 3.15.2。本文整合了 10 月 24—25 日的维护记录，完整说明自 20261018 正式版以来的所有变更。三个可执行组件采用统一的发布日期与包版本号；KES 仍作为可选的外部密钥服务独立部署。

多池删除：失败时保住最新副本

Sat, 24 Oct 2026 00:00:00 +0000

记录 PR #257 的问题成因、预检查之后的故障窗口、分阶段删除与重试修复，以及最终合并版本的性能代价、兼容性和验证边界。

多池覆盖亲和：为何最终没有采纳 #245

Sat, 24 Oct 2026 00:00:00 +0000

完整记录 #245 的设计、正确性修正、两轮 m3 性能测试与放弃决定：减少跨池旧副本确有价值，但不足以抵偿仍未解决的小对象覆盖性能损失。

FULL_OBJECT 校验和复制：在初始化上传时保留类型

Sat, 24 Oct 2026 00:00:00 +0000

PR #255 为分片 CRC 对象的复制恢复 FULL_OBJECT 校验和类型。本文记录 BadDigest 故障链路、上游回归来源、三行条件为何同时修复 CopyObject 复制，以及验证与升级要点。

LDAP 长 DN：恢复登录可用性并守住 IAM 撤销安全边界

Fri, 23 Oct 2026 00:00:00 +0000

解析 LDAP DN 规范化为何触发 IAM 单文件名 255 字节上限、父身份版本读取如何放大登录回归，以及为何仅将确定无法落盘的纯 ASCII 超长路径分量归类为记录不存在。

IAM 策略重载：锁粒度、请求取消与超时预算隔离

Fri, 23 Oct 2026 00:00:00 +0000

解析慢速策略列表为何阻塞普通 S3 鉴权、取消信号如何在到达 KES 前丢失，以及贯通 Context 时为何必须将 etcd 读取超时与后续解密预算解耦。

Alias 区域：小配置改动的兼容性边界

Fri, 23 Oct 2026 00:00:00 +0000

为什么 mcli 需要按 alias 保存可选区域，为什么客户端缓存必须区分最终区域，以及如何保留正常升级行为而不承诺无损降级。

SILO 20261018 发布说明

Sun, 18 Oct 2026 00:00:00 +0000

Server 20261018 已正式发布，提供 amd64 与 arm64 版本化归档、原生软件包及 Docker Hub 标准／distroless 镜像。本版本接替 Server 20260916（20261015 保留为已撤回的历史草稿记录）。

SILO、KES 与 OpenBao：密钥归属和恢复

Sun, 18 Oct 2026 00:00:00 +0000

区分对象加密、密钥服务授权与根密钥持久存储，并明确升级和恢复的验证方法。

十月安全更新：Object Lock、管理凭据与 JWK 解析

Sun, 18 Oct 2026 00:00:00 +0000

SILO Server 20261018 正式交付了 SN-2026-015、SN-2026-016 与 SN-2026-017 三项安全修复、细粒度 STS 令牌撤销机制，以及跨 silo、mcli 与 silo-console 的 Go 工具链与依赖库安全更新。Server 20260916 与 20260903 均受影响（20261015 为已被替代的预发布草稿）。

silo-pkg 3.14.3 发布

Sun, 18 Oct 2026 07:29:13 +0800

发行版： v3.14.3 · 源码： e9d585ba1e7a。依赖基线见 v3.14.2 发布说明。

github.com/pgsty/silo-pkg/v3 v3.14.3 优化了 IAM 策略判定期间识别 admin: 动作的开销，被 Server 20261018 选用。

AdminAction.IsValid 与 HasResource 现在优先执行精确查表，再按需扫描动作集合：不含通配符且未命中的字面量动作直接返回；前缀无法匹配 admin: 命名空间的通配符模式直接跳过合法性扫描，而 adm*、a*d*m*i*n* 等通配模式保持原有匹配语义不变。

PGSTY KES 20261018 发布

Sun, 18 Oct 2026 00:57:52 +0800

发行版： RELEASE.2026-10-18T00-00-00Z · 软件包： 20261018000000.0.0 · 源码： 2f7e741db905。

这是 PGSTY 维护的密钥加密服务（Key Encryption Service，KES）首个正式发行版。KES 是独立部署的无状态服务，供需要外部 KMS 的 SILO 服务端加密场景使用（参见组件版本矩阵）。

SILO Console 2.4.2 发布

Sat, 17 Oct 2026 20:49:49 +0800

版本： v2.4.2 · 源码： ef2dd2c41d21。

本版本作为独立 Console 发行版及 Server 20261018 的内嵌 Console 组件发布（参见 silo-pkg v3.14.2 发布说明）。

更新内容

升级至 mcli 20261018、silo-pkg v3.14.2 与上游 minio-go v7.4.1。SDK 包含取消后的失败分段上传清理、UTC 保留期时间戳及 STS 时长透传（并行 GET 与 ComposeObject 仍需显式启用）。
保留桶版本控制操作中被包装的底层 S3 错误；当 Object Lock 阻止暂停版本控制时，明确向前端返回 InvalidBucketState。
使用 Go 1.27.2 与 Node 24.22.0 LTS 构建。更新 golang.org/x/* 模块及依赖版本：compress v1.20.3、msgp v1.6.5、etcd v3.7.2、fwd v1.2.1 与 cpuid v2.4.1（保留 go-systemd v22.6.0 以支持 NetBSD，保留 tablewriter v0.0.5 以兼容现有 MC API）。
构建工具固定为 GoReleaser v2.18.3、golangci-lint v2.15.0 与 govulncheck v1.9.0，重新生成 2.4.2 内嵌前端资产并更新固定摘要的构建容器。

集成说明

由于模块路径保留无 /v2 后缀的 github.com/pgsty/silo-console，Go 消费方通过伪版本 v0.0.0-20261017112417-ef2dd2c41d21 引用。嵌入 Console 的 Server 需同时显式声明 Console 与 MC 替换：

mcli 20261018 发布

Sat, 17 Oct 2026 19:06:00 +0800

版本： RELEASE.2026-10-18T00-00-00Z · 软件包版本： 20261018000000.0.0 · 源码： fa3b8bf72458。

本版本作为独立 mcli 客户端及 Server 20261018 与 Console v2.4.2 的配套客户端版本发布（参见 silo-pkg v3.14.2 发布说明）。

更新内容

升级至 silo-pkg v3.14.2 与上游 minio-go v7.4.1。SDK 修复取消后的失败分段上传清理、UTC 保留期时间戳格式及 STS 时长透传，并保留既有 CopyObject 内嵌错误处理与校验和逻辑（并行 GET 与 ComposeObject 仍需显式启用）。
使用 Go 1.27.2 构建，更新 golang.org/x/* 模块、compress v1.20.3、msgp v1.6.5 与 etcd 客户端 v3.7.2（其中 fwd v1.2.1 修复同时返回数据与错误时的字节丢失及 Skip 偏移；cpuid v2.4.1 修复缓存识别）。
通过 silo-pkg 引入 go-jose v4.1.6（修复 RSA JWK 解析 CPU 消耗问题 GHSA-mgcc-cww5-fp2q）与 LDAP v3.4.15。
刷新固定摘要的 UBI 9 基础镜像与发行工具链：GoReleaser v2.18.3（含日志脱敏与归档修复）、nFPM v2.48.0、golangci-lint v2.15.0、govulncheck v1.9.0 与 gofumpt v0.12.0。

升级说明

CLI 命令、别名、MC_* 环境变量与本地配置文件格式保持不变（保留 go-systemd v22.6.0 替换以支持 NetBSD 构建，保留 tablewriter v0.0.5 API）。各组件配套关系见组件版本矩阵。

LIST 漏项修复：仅对存疑对象补读确认并收敛锁等待开销

Sat, 17 Oct 2026 00:00:00 +0000

#218 / #239 的最终设计：正常列举保留快路径，仅对符合条件的分歧对象跨池补读确认；严格区分真实删除与磁盘故障，覆盖既有写锁路由，并限制短暂锁冲突造成的额外等待。

IAM Admin API 授权边界修复

Fri, 16 Oct 2026 00:00:00 +0000

通过 Handler 层局部修补落实自管理授权，阻止受限会话凭据越权，保护 root 凭据，同时保留空策略兼容性和损坏密钥的清理能力；记录授权契约、性能开销、被否决方案与回归验证。

silo-pkg 3.14.2 发布

Thu, 15 Oct 2026 21:32:32 +0800

发行版： v3.14.2 · 源码： c6835145176f。

github.com/pgsty/silo-pkg/v3 v3.14.2 为 mcli 20261018 与 Console v2.4.2 提供十月依赖基线；后续补丁版 v3.14.3 在此基础上优化了策略判定性能，供 Server 20261018 使用。

变更内容

上游 minio-go 升级至 v7.4.1：在调用方取消上下文后仍确保清理失败的分片上传，以 UTC 序列化 Object Lock 保留期时间，原样透传请求的 STS 时长，并支持 Kubernetes 投射服务账号令牌文件（并行 GET 与 ComposeObject 仍需显式启用）。
go-jose 升级至 v4.1.6：修复解析超大恶意 RSA JWK 时的 CPU 消耗问题（GHSA-mgcc-cww5-fp2q）；同步升级 LDAP v3.4.15、msgp v1.6.5 与 etcd 客户端 v3.7.2。
golang.org/x/* 升级：x/crypto v0.58.0、x/net v0.61.0、x/sys v0.49.0、x/text v0.43.0。使用 Go 1.27.2 开发与测试，保持模块 go 1.26 最低版本要求及 NetBSD 的 go-systemd v22.6.0 替换。

兼容性与采用方式

require github.com/pgsty/silo-pkg/v3 v3.14.2

公开包签名与密码策略语义保持不变（从 v3.14.0 之前版本升级请参考密码权限迁移说明，各组件依赖对照见组件矩阵）。

旧版元数据与扫描响应复用时的残留字段修复

Thu, 15 Oct 2026 00:00:00 +0000

PR #233 修复旧版 xl.meta 头部与命名空间扫描响应在结构体复用时的字段残留。本文记录触发条件、故障表现、局部清零方案、确定性回归测试、分布式扫描验证与运维指引。

SILO 20261015：已替代草稿记录

Thu, 15 Oct 2026 00:00:00 +0000

状态：已被正式版 Server 20261018 替代。 RELEASE.2026-10-15T00-00-00Z 曾于 2026-10-15 13:52:28（UTC+8）短暂公开，随后撤回为 Draft 并由包含完整十月修复栈的 20261018 接替。本页归档该候选版的源码范围与制品验收记录，新部署与升级请直接使用 20261018。

对象锁保留期越权与版本覆写漏洞修复设计（SN-2026-015 / SN-2026-016）

Wed, 14 Oct 2026 00:00:00 +0000

梳理对象锁保留期鉴权短路缺陷（SN-2026-015）与版本寻址写入覆写缺陷（SN-2026-016）的外部报告验证、完整历史溯源、入口与存储写锁双重防线设计、预检 Fail-Closed 加固，以及候选方案的评估与取舍。

SN-2026-015 与 SN-2026-016：S3 Object Lock 治理模式保留锁绕过与指定版本号原地覆盖漏洞分析

Sat, 26 Sep 2026 00:00:00 +0000

SN-2026-015 与 SN-2026-016 涵盖了在 SILO Server 20261018 中通过 PR #234（14042b5aa）与 PR #235（0d3ba5d4c）修复的两组 S3 Object Lock 合规保留与不可变性漏洞（配套修复设计方案）。虽然删除路径此前已按 CVE-2023-25812 正确校验 s3:BypassGovernanceRetention，但保留期修改路径（PutObjectRetention）与四条原地版本覆写路径仍存在绕过缺陷。

写死 TLS 参数与握手兼容性

Thu, 17 Sep 2026 00:00:00 +0000

Go 1.27 为什么改变 TLS 1.3 ClientHello、SILO 继承的显式曲线清单为何令 GODEBUG=tlsmlkem=0 失效、20260916 修复的覆盖范围，以及当中间设备因新增的后量子签名算法编号重置连接时的排查与处置方案。

SILO Console 2.4.1 发布

Wed, 16 Sep 2026 16:36:03 +0800

SILO Console v2.4.1 于 2026 年 9 月 16 日发布，源码为 1360e26d976d。本版接入 pkg v3.14.1 与 mcli 20260916，收紧匿名分享代理，支持多对象流式 ZIP 下载，并提供带签名和构建溯源的发布制品。

#52 的修复将匿名代理限制为 配置的 S3 源站上的对象内容 GET 请求，拒绝重定向、系统路径和通过查询参数选择的非下载操作。公开对象、预签名链接和指定版本下载继续可用。不需要新增一个关闭分享的环境变量。

silo-pkg 3.14.1 发布

Wed, 16 Sep 2026 12:16:06 +0800

v3.14.1 从 fa657ef4 发布。这是 github.com/pgsty/silo-pkg/v3 的依赖与工具更新；相对 v3.14.0 的差异没有修改包的 Go 源码或公开 API。

依赖变化

JWX 从 v3.2.0 升至 v3.3.0。上游发布说明将自定义 JSON 字段名编码时缺少转义的问题标识为 GHSA-4cf7-xm37-g63h。可利用性取决于是否接受攻击者控制的自定义 claim 名称；本包 env 的 JWT 路径仅使用已注册的 claim 名称。
上游 minio-go 升至 v7.3.1-0.20260915093545-32e1f32cb176，包含 minio-go #2306：识别 HTTP 200 响应正文中的 S3 CopyObject 错误，避免误报复制成功。
Testify 升至 v1.12.1，lint 配置采用 gomodguard_v2。保留 Go 1.26 最低版本、Go 1.27.1 工具链及支持 NetBSD 的 go-systemd replacement。

组件与迁移边界

v3.14.0 的密码策略变化继续生效，本补丁没有回退它。原先意图同时禁止用户管理与修改自身密码的策略，应按迁移指南保留 admin:CreateUser 与 admin:ChangeMyPassword 的配对 Deny。

列举不能丢掉仍有仲裁的 null 版本