HarmonyOS诊断数据留存到期清理与恢复复核【共创稿事节】

诊断包能够安全导出，并不意味着它可以无限期保留。一次导航失败形成的EV-104已经经过字段脱敏、规范化和摘要核对，后续可能同时存在于本地事件目录、交付清单以及页面缓存中。如果只删除事件文件而不调整清单，列表里会留下失效入口；如果只隐藏列表项而让旧文件继续留在存储目录，留存策略也不会真正生效。收官阶段需要把到期判断、引用检查、删除操作和恢复复核组织成一个可追踪的状态流程。

本篇继续沿用前几篇的安全事件格式。EV-104发生于2026年10月29日09:10，eventCode=NAV_TIMEOUT、elapsedMs=5320、pageKey=/pages/map、contactEmail=user***@example.com；它仍处于有效保存期。另准备两个历史记录检查过期分支：EV-101日期为10月15日、已无引用；EV-103日期为10月20日、仍被一份未结束的交付清单引用。假设产品设置七天留存期，那么第一条进入清理候选，第二条需要推迟最终删除并进入复核队列，第三条继续保留。日期是测试输入，不涉及实际设备观测值。

到期判断要同时考虑引用状态

留存策略应明确以哪个时刻为准。这里采用事件完成时的UTC毫秒时间戳，过期条件为createdAt + ttlMs <= now。等号属于到期边界，避免同一条记录在相邻调度周期被反复判为未到期。保留期限需要以产品需求和数据治理决策为依据，而不是直接从操作系统缓存清理行为推导；不同数据类型也可能有不同的生命周期。使用统一时间基准，可以减少设备时区变化、显示日期格式和夏令时转换对清理结果的影响。

仅有过期状态仍不足以删除。已发布的清单可能指向事件文件，用户也可能正在查看某份诊断结果。删除前应检查引用状态、当前写入任务与文件句柄，再制定候选集。对已过期且没有活跃引用的记录，可以安排清理；对仍有引用的记录则先标记为待复核，确认引用撤销或交付完成后再安排动作。此处的引用计数是业务模型，由应用自己维护，并不意味着系统会自动协调不同进程的全部句柄。

第一段代码采用固定的北京时间输入和七天期限，构造三条记录。判定规则将状态分为keep、review和expire，并验证等于到期时刻的边界。清理任务使用这一规划结果，而不是边扫描目录边猜测文件创建时间。

const assert = require('node:assert/strict');
const DAY = 24 * 60 * 60 * 1000;
const now = Date.parse('2026-10-29T09:10:00+08:00');
const records = [
  {id:'EV-101', at:'2026-10-15T09:10:00+08:00', refs:0},
  {id:'EV-103', at:'2026-10-20T09:10:00+08:00', refs:1},
  {id:'EV-104', at:'2026-10-29T09:10:00+08:00', refs:1}
];
function decide(item, clock, days) {
  const at = Date.parse(item.at);
  if (!Number.isFinite(at) || item.refs < 0) throw Error('BAD_RECORD');
  if (clock < at + days * DAY) return 'keep';
  return item.refs > 0 ? 'review' : 'expire';
}
assert.deepEqual(records.map(r => decide(r, now, 7)),
  ['expire','review','keep']);
assert.equal(decide({at:'2026-10-22T09:10:00+08:00',refs:0},
  now, 7), 'expire');
console.log('expire=EV-101, review=EV-103, keep=EV-104');

实际应用还应记录清理策略版本和上一次成功扫描的时间。若系统时间突然回退，不能因此重建已删除的文件；若时间向前跳跃，也不宜绕过引用复核直接删除大量记录。可以通过独立的任务状态与保守的复核分支减少误删概率。对多进程共享的清单，需要在决定删除和真正修改索引之间采取事务或版本控制措施；简单读出refs=0并不能消除并发创建新引用的风险。

从待清理到隔离区的阶段化处理

文件清理最好分成计划、隔离、确认三个阶段。计划阶段列出事件编号、预计删除路径与原因；隔离阶段将文件移动到受控的暂存目录并从活动索引中移出；确认阶段再次核对文件摘要和引用状态，然后才按照策略完成永久清除。隔离目录要有比正常目录更短且可管理的期限，防止“为了支持恢复”反而长期保留所有历史记录。若清理尚未提交，恢复可通过相反的文件移动和索引更新完成；若文件已经永久删除，就只能通过仍然合法保存的独立备份重新获得数据。

第二段Node.js代码实现单文件隔离。它使用独立临时目录，只处理无引用的EV-101，记录隔离前的内容指纹；对于仍被引用的EV-103直接返回待复核状态。最终操作需要把隔离状态持久记录到索引中，避免应用重新启动后把隔离文件误当作正常文件扫描出来。发生写入失败时应保留原始索引，待下一轮恢复程序再次确认状态。

const assert = require('node:assert/strict');
const fs = require('node:fs');
const os = require('node:os');
const path = require('node:path');
const {createHash} = require('node:crypto');
const root = fs.mkdtempSync(path.join(os.tmpdir(),'diag-retain-'));
const active = path.join(root,'events');
const quarantine = path.join(root,'quarantine');
fs.mkdirSync(active); fs.mkdirSync(quarantine);
const bytes = Buffer.from('{"eventCode":"NAV_TIMEOUT"}','utf8');
fs.writeFileSync(path.join(active,'EV-101.json'), bytes);
const sha = b => createHash('sha256').update(b).digest('hex');
function stage(id, refs) {
  if (!/^EV-[0-9]+$/.test(id)) throw Error('BAD_ID');
  if (refs > 0) return 'review';
  const from = path.join(active, `${id}.json`);
  const to = path.join(quarantine, `${id}.json`);
  if (!fs.existsSync(from)) return 'missing';
  fs.renameSync(from,to);
  return sha(fs.readFileSync(to));
}
assert.equal(stage('EV-103',1),'review');
assert.equal(stage('EV-101',0),sha(bytes));
assert.equal(fs.existsSync(path.join(active,'EV-101.json')),false);
assert.equal(fs.existsSync(path.join(quarantine,'EV-101.json')),true);
console.log('staged=EV-101, retained=EV-103');
fs.rmSync(root,{recursive:true,force:true});

在生产工程中，重命名的原子性取决于目标位置和文件系统；不同卷之间的移动可能需要复制、同步和删除三个动作。跨目录或跨存储区不能简单假设一次移动永远成功。应采用“先写新索引草稿、检查隔离区文件、再切换索引引用”的可恢复流程，同时把每个步骤的失败原因放进应用层审计记录。隔离文件若仍含敏感内容，应采取访问范围最小化与受控期限，页面也不应直接暴露隔离目录的绝对路径。

恢复需要重新校验内容和字段

恢复不能只是把文件从隔离目录移动回去。即便文件名仍叫EV-101.json，也可能被误替换或损坏；旧格式还可能包含现在策略已禁止的字段。真正恢复前，应以隔离时保存的摘要核对字节，验证字段白名单和格式版本，再重新确认恢复目标没有被新文件占用。恢复操作也应检查当前留存策略：如果该记录已经进入永久删除阶段，就不能仅因为界面保留了历史按钮便将其当作可恢复文件。

第三段代码构建一份来自上一阶段的安全内容，校验摘要后恢复到活动目录，并通过篡改场景验证拒绝错误恢复。它继续坚持四个允许字段的契约，不把过去删除的凭据字段重新带进输出。文件存在与否、内容是否一致、能否恢复是三个独立状态，用户界面应分别显示，而不是用一个通用成功标记覆盖全部情形。

const assert = require('node:assert/strict');
const fs = require('node:fs');
const os = require('node:os');
const path = require('node:path');
const {createHash} = require('node:crypto');
const root = fs.mkdtempSync(path.join(os.tmpdir(), 'diag-restore-'));
const held = path.join(root,'held.json');
const live = path.join(root,'EV-104.json');
const safe = {contactEmail:'user***@example.com', elapsedMs:5320,
  eventCode:'NAV_TIMEOUT', pageKey:'/pages/map'};
const hash = b => createHash('sha256').update(b).digest('hex');
fs.writeFileSync(held, JSON.stringify(safe));
const recorded = hash(fs.readFileSync(held));
function restore(expected) {
  if (!fs.existsSync(held) || fs.existsSync(live)) return false;
  const content = fs.readFileSync(held);
  if (hash(content) !== expected) return false;
  const fields = Object.keys(JSON.parse(content)).sort();
  const allowed = ['contactEmail','elapsedMs','eventCode','pageKey'];
  if (JSON.stringify(fields) !== JSON.stringify(allowed)) return false;
  fs.renameSync(held,live); return true;
}
assert.equal(restore('0'.repeat(64)), false);
assert.equal(restore(recorded), true);
assert.equal(fs.existsSync(live), true);
assert.equal(Object.hasOwn(JSON.parse(fs.readFileSync(live)), 'authToken'),false);
console.log('restore=accepted, fields=4');
fs.rmSync(root,{recursive:true,force:true});

这里采用SHA-256作为内容变化检测手段，并不把它当作签名或身份认证。真实交付场景还需要可信来源、权限控制与用户确认。恢复完成后，应刷新事件索引、引用计数和页面选中状态，再重新检查每一份清单引用是否指向存在且摘要正确的文件。若某项清单已经完成交付并被撤销，恢复不应偷偷重新发布它；恢复内容与恢复对外共享状态是两种不同操作，应该有各自的审计记录。

应用文件管理与异常收尾

HarmonyOS应用自己的文件目录适合存放受控的诊断记录，界面配置和少量状态可按需使用Preferences。Preferences的文档提示多进程访问时存在数据一致性问题，因此多进程协同清理应考虑额外的协调层。文件本身仍需通过Core File Kit对应接口管理，并在操作完成后关闭文件句柄。用户文件访问、公共目录导出和URI跨应用分享属于另外的授权流程；清理应用目录内自己的文件，不等于可以自由清理其他应用或用户文件。

华为开发者提供了用户文件概述、Preferences接口及文件共享接口。开发时应围绕应用上下文目录、错误码和所需权限确认SDK适配，而不是固定设备绝对路径。异常中断后的再次扫描，需要先检查上一次隔离与索引切换进度，再判断是补做、回滚还是等待人工处理，确保重复执行清理任务也不会意外删除新数据。

可以将清理结果整理成三列：已经完成隔离的EV-101、仍有引用待复核的EV-103，以及有效保留的EV-104。完成页面离开时，清除临时视图对象、取消在途操作并释放文件引用；再次进入则由当前索引重新生成列表。这样的设计不会让清理动作与显示顺序相互依赖，也不需要为了恢复焦点而延长所有诊断记录的保存时间。从字段入口、脱敏、文件引用到留存生命周期，四篇工程实践构成一条闭环：让需要保留的数据可核对，让不应长期保留的数据有明确的退出路径。