附件不应该只保存在浏览器内存或 IndexedDB。浏览器缓存可以提升体验，但服务器必须拥有权威密文副本，才能支持多设备同步、备份和恢复。
默认使用宿主机目录
单机自部署时，文件系统模式最简单。客户端先加密附件，API 把密文分块写入宿主机绑定目录，数据库只保存对象标识、大小、哈希和条目关系。容器重建不会删除绑定目录中的附件。
何时选择对象存储
当部署需要跨节点、独立容量扩展、远程持久化或已有对象存储治理时，可以配置 S3、R2 或兼容服务。切换存储后仍要保留清晰的权威副本与镜像策略，不能让数据库引用同时指向多个含义不明的位置。
导出与备份不是一回事
用户导出面向个人数据可携带性，可以包含加密附件或相应引用；运维备份则必须把服务器上的附件密文与数据库放入同一恢复点。只导出链接无法保证目标对象未来仍然存在。
因此默认文件系统并不是降级方案，而是单机部署下依赖最少、恢复路径最清晰的方案。对象存储应在真实需求出现时启用。