备份与恢复

备份集合复制标题链接

数据库是订单、账务、订阅和任务的业务事实来源。生产需要逻辑备份和提供商 PITR；保留备份时间、校验和、schema 版本与恢复目标。文件字节不在 PostgreSQL 备份里：公开和私有 R2 桶需要单独同步或版本化备份。主密钥环至少两份离线副本，与数据库备份分开控制访问。

保留对应应用构建、Worker version、迁移文件及校验和、加密配置与桶清单。没有主密钥时，恢复数据库不能解密渠道密钥和订阅凭证。易失存储无需业务备份，丢失后一次性令牌失效、计数归零、缓存重建。

恢复演练复制标题链接

1. 选择可验证的数据库恢复点，在新的隔离库中恢复；确认 schema 版本与预期应用兼容。
2. 将相应时间的对象恢复到两个隔离桶，核对对象数量、大小、校验和和私有访问策略。
3. 从受保护来源注入对应主密钥环。将恢复环境接到隔离域名；阻断真实支付回调、发信、节点和外部副作用。
4. 检查迁移状态、账务与订单、订阅计数、任务租约和待处理队列。确认可解密配置与私有文件下载。
5. 记录实际 RPO/RTO、缺失对象和验证结果。审批切流后才启用真实外部服务与 Cron，避免两个环境同时处理业务。

不要在恢复前执行未经审阅的 migrate up，也不要覆盖唯一备份。数据库恢复点与对象恢复点不一致时先隔离受影响文件并核对，不假定恢复成功。升级流程见升级与回滚。