Cloudflare Containers快照实践：持久状态不等于可信恢复
内容提要
Cloudflare 重构 Containers，为 Agent 沙箱提供文件系统快照，支持暂停和恢复 Linux 环境，启动速度提升至 648 毫秒。但快照仅保存文件系统，不等同于可信上下文。快照句柄应视为能力凭证，需绑定用户与任务，恢复后重建短期权限。建议采用不可变快照、外部 Manifest 和短期凭据，恢复时先禁网验证，失败则干净重建。
延伸解读
快照句柄的安全定位
文章强调快照句柄应视为能力型凭证，而非普通文件名。保存它的Durable Object状态必须与用户、任务和环境标识绑定，防止其他租户凭句柄恢复。恢复后需重建短期权限，不能默认旧身份仍有效。这体现了控制面与文件系统分离的安全价值，也是避免跨租户越权访问的关键设计。
迁移时间表的现实约束
官方明确新功能仅支持原生ctx.container路径，旧Container类和旧Sandbox类维护至2026年12月31日。已有部署届时仍运行但不再获得新功能。团队不能只做性能压测，还需盘点依赖旧基类的代码，并明确迁移后谁负责容器睡眠、唤醒、出站网络和快照保留策略，否则可能陷入维护僵局。
恢复失败演练的必要性
文章指出团队常只测恢复成功，忽略恢复失败。应主动演练句柄丢失、快照过期、镜像不兼容、Manifest被篡改和健康检查超时等场景。失败时应转入干净重建或人工复核，而非反复重试可疑快照。只有快速恢复与可验证恢复同时成立，快照优化才具备生产能力，否则持久化会把临时错误放大为长期风险。
Q&A
Cloudflare Containers 快照是什么？它和普通备份有什么区别？
Cloudflare Containers 快照是文件系统快照，用于让 Linux 环境睡眠并保留可恢复的工作区。它仅保存文件系统，不等同于可信上下文，且依赖平台生命周期，不能替代正式存储中的核心代码、产物和审计日志。
Cloudflare Containers 快照的启动速度提升了多少？
官方称容器启动超过 6 倍加速；ComputeSDK 独立基准中，中位数从 4 秒多降到 648 毫秒。
如何使用 Cloudflare Containers 快照 API 创建和恢复快照？
使用 ctx.container.snapshotContainer() 创建不可变快照并保存句柄，然后在 start() 中传入该句柄恢复。快照仅支持新的 durable_object 策略。
为什么快照句柄应被视为能力型凭证？
因为快照句柄若被其他租户获取即可恢复环境，所以必须与用户、任务和环境标识绑定，恢复后重建短期权限，不能默认旧身份状态仍有效。
恢复快照时有哪些常见失败和边界需要注意？
常见失败包括：把快照当备份、当密钥保险箱、忽略副作用、默认快照可互换、只测恢复成功不测失败。应主动演练句柄丢失、快照过期、镜像不兼容、Manifest 被篡改和健康检查超时，失败时转入干净重建或人工复核。
Cloudflare Containers 旧版迁移的时间表是什么？
新功能仅供原生 ctx.container 路径使用，旧 Container 类和旧 Sandbox 类维护至 2026 年 12 月 31 日；已有部署届时仍会运行，但不再获得新功能。
推荐的最小实践方案是什么？
采用不可变快照、外部 Manifest 和短期凭据。快照前清理密钥，创建时签版本，恢复时验哈希，启动后先禁网，副作用用幂等键单独去重。Manifest 应包含镜像不可变摘要、依赖锁文件哈希、源码提交、创建时间、任务所有者和快照前清理版本。
