备份、保留与恢复演练

创建可验证的 PostgreSQL 备份，只恢复到受保护的临时数据库，并安全应用明确的保留策略。

已根据 starter 提交 2a1a04a 验证。

只有在另一个数据库中成功恢复并通过同一迁移检查，备份才算得到证明。Starter 提供受保护的命令；团队仍需决定提供器快照、频率、加密、区域、RPO、RTO 和法律保留期限。

pnpm db:backup
pnpm db:backup -- --output-dir /secure/backup/path --label production

命令生成 PostgreSQL 自定义格式备份、SHA-256 manifest、严格权限和原子文件名。必须把备份和 manifest 复制到加密、受控的异地主机；本地忽略目录不是生产备份。

将 RESTORE_DATABASE_URL 指向名称包含 restore、scratch 或 drill 的一次性数据库：

pnpm db:restore:drill -- --backup .data/backups/example.dump --confirm sushi_restore_drill

演练会拒绝开发、测试、Content Studio 和 PostgreSQL 系统数据库，然后验证 manifest、恢复目标、执行严格迁移检查、确认应用表并记录恢复耗时。它不会创建或删除数据库。

默认保留期限为：已完成任务 14 天、营销提供器最小回执 30 天、认证事件 90 天、管理审计 365 天。财务账本、订单、订阅、产品记录和用户内容不属于通用清理范围。

pnpm retention:report
pnpm retention:apply -- --confirm your_database --production

可以上线的标准： 恢复目标已记录、异地副本存在、恢复演练满足 RTO、恢复后的迁移检查通过、保留策略与公开政策一致，并有人负责下一次演练。