2026 年租賃遠端 Mac 僅剩 SFTP：lftp mirror 與批次 sftp 的鏡像拉取、斷線重試與 SHA256 閘門決策矩陣
建置真相源在租賃遠端 Mac、出口卻只允許 SFTP 時，把 rsync over SSH 當唯一模板常撞牆：對端無對齊二進位、openrsync 與 GNU 旗標靜默分歧，或整樹掃描讓 Job 不可預測。以下說明 lftp mirror 與 sftp -b 如何補「目錄鏡像＋重試」，並併讀《files-from》《link-dest》《兩段式物件分發》。
遠端 Mac 整樹同步為何仍常上線才炸
痛點一／二：產物目錄混快取與舊版時，整樹 -a 把無關檔納入差分，與 manifest 驅動衝突；--delete 若在 staging 外執行，拼字錯誤即不可逆，業務常要「只增不減」需明確刪除面。
痛點三／四：openrsync 與 GNU rsync 在延伸屬性、硬連結、通訊版本上易分歧；跳躍或物件後段僅 SFTP 時仍套 rsync 範本會卡死。
痛點五：反模式是先切軟連結再校驗；應 staging → SHA256 閘門 → 切可見性，併讀《無產傳輸完整性》。
- 把「拉取」與「發佈」拆成兩張變更單，禁止同一條流水線混寫金鑰與刪除開關。
- 為 mirror 任務單獨建立工作區子樹，路徑常數寫進單一設定來源，避免複製貼上漂移。
- 值班手冊先寫：先查刪除開關，再看並行，最後才懷疑磁碟。
決策矩陣：何時用 lftp mirror，何時必須回到 rsync 或 files-from
矩陣問的是無人值守時誰較不易做錯：有可靠 manifest 讀清單化文；要硬連結增量讀 link-dest；僅 SFTP 且要可恢復目錄鏡像時用 lftp。
| 方案 | 最擅長的交付語意 | 典型誤用 | 站內銜接 |
|---|---|---|---|
| lftp mirror（SFTP） | 目錄鏡像、重試、並行小檔 | 誤刪、並行觸頂、未乾跑 | 本文＋SHA256 |
| sftp 批次檔 | 明確指令、小批量 | 樹遍歷寫進批次難維護 | OpenSSH 文 |
| rsync 整樹 | 大目錄增量、link-dest | 盲同步、刪除面大 | link-dest 文 |
| rsync --files-from | 清單縮面、sparse-checkout | manifest 不穩則漏傳 | files-from 文 |
維運上可解釋性勝峰值吞吐：on-call 十分鐘內能判斷刪除開關、並行是否觸頂、staging 是否先於閘門，半徑才可控。請把 lftp 日誌層級與 manifest 版號綁進變更單。
實作步驟：僅 SFTP 入口上從唯讀錨目錄到 mirror 灰度的七步落地
下列為可稽核骨架；請替換主機／使用者／路徑，並併讀《公網防暴力與 Runner》。
# lftp 非互動範例（請先在小目錄驗證刪除語意）
lftp -u deploy, -e "
set sftp:connect-program \"ssh -a -x -oStrictHostKeyChecking=accept-new\";
set net:reconnect-interval-base 5;
set net:reconnect-interval-multiplier 2;
set net:max-retries 6;
mirror --verbose --only-newer \\
/srv/releases/current-ro/ ./staging/current/ ;
bye
" sftp://mac.example.internal:22/- 凍結路徑常數：把遠端唯讀錨目錄與本地 staging 寫進單一參數表，禁止在矩陣 Job 內拼字串。
- 確認帳號權限：拉取帳號對發佈樹唯讀、對 staging 可寫；做不到就拆成雙階段帳號。
- 跑通乾跑：對 mirror 刪除相關開關做 A/B，記錄差異清單與負責人。
- 設定並行上限：小步增加
--parallel，對照MaxStartups與 Runner 出口頻寬。 - 接入重試策略：指數退避要封頂，避免在伺服器故障時放大風暴。
- 落盤 staging：禁止直接寫入消費方目錄；先寫暫名再原子 rename。
- 跑 SHA256 閘門：對 manifest 每條路徑校驗，失敗即阻斷並保留現場 tarball 以利鑑識。
偏好明確序列可用 sftp -b 寫 get -r／reget；維護較重但稽核細，可與 mirror 並存（大面 mirror、小檔批次確認）。
可引用數據：並行、重試、刪除面與閘門耗時如何寫進變更單
欄位樣板如下，數值請自測；重點是欄位齊全而非範例數字。
| 指標 | 建議紀錄格式 | 用途 |
|---|---|---|
| mirror 並行度 | parallel=4，尖峰工作階段=8 | 對照 MaxStartups 與 CI 並發矩陣 |
| 重試封頂 | max-retries=6，總牆鐘<15min | 避免無限重試占用作業槽 |
| 刪除面 | delete=off，作用域=staging 子樹 | 事故覆盤可快速對齊設定 |
| SHA256 閘門 | manifest v20260512.3，失敗樣本保留 | 與發佈視窗證據鏈一致 |
| 端對端耗時 | P50/P95 分位各寫一行 | 容量規劃與告警閾值 |
欄位應綁建置號與 commit sha；物件中轉時物件鍵版號須與 staging manifest 同源，避免雙帳本。
遠端 Mac 側如何把鏡像拉取鎖進安全邊界：sshd、目錄與稽核
建議拆分人類 SFTP 與 CI 拉取帳號；後者只掛唯讀 release。MaxStartups／MaxSessions 與 mirror 並行須落在工作階段預算內；配對 Client／ServerAlive 降低 NAT 半傳。併讀《bwlimit》：mirror 偏詮釋資料風暴，bwlimit 偏單鏈路形狀，兩者同放需金絲雀。
站內互鏈：把 lftp 鏡像嵌回完整交付鏈
閱讀順序：清單化縮面 → 本文拉取 → SHA256＋《原子發佈》→ link-dest；評估物件儲存時讀《兩段式分發》。
常見問題
問：mirror 能否取代 link-dest？答：不能；link-dest 管硬連結增量，mirror 管 SFTP 可恢復目錄同步，磁碟敏感仍靠 rsync。
問：為何保留 rsync？答：版本與金鑰面若能統一，rsync 仍是吞吐＋校驗預設；lftp 是約束下補丁。小團隊先最小並行＋ staging ＋ SHA256 三件套即可。
總結
本文把「僅 SFTP 也能做對」拆成可執行順序：唯讀錨目錄、限刪 staging、mirror 灰度、閘門與原子發佈銜接。自建節點在工具版本、並行與工作階段預算上持續消耗人力，是平台成本的真實組成。
當你需要更低的人肉對齊成本、穩定的上線視窗與目錄權限基線，託管遠端 Mac能把建置真相源與傳輸入口收斂到可合約化的服務平面：團隊專注業務交付，而不是徹夜排障。
若希望把鏡像拉取、並行與稽核一次落到可營運基線，請參考 SFTPMAC 首頁方案 與說明中心，把遠端 Mac 當成「像 SFTP 一樣可控」的長期節點使用。