只执行 pg_dump 不能得到完整的 xypass 备份。数据库保存账号、授权、同步记录和附件引用，但默认附件密文位于独立的宿主机目录，运行配置和解包密钥也不在数据库中。

一个快照需要包含什么

  • PostgreSQL 一致性转储。
  • 服务端附件密文与 manifest。
  • 恢复服务所需的 .env 和独立密钥文件。
  • 备份清单、校验结果和版本信息。

这些内容必须来自同一个备份周期。只恢复旧数据库配新附件目录，或者只恢复附件而缺少对应引用，都会产生无法解释的不一致状态。

备份加密保护什么

客户端端到端加密已经保护保险库内容；Restic 再对服务器快照整体加密，用于抵御备份仓库泄露。两层加密的职责不同，不能因为附件是密文就省略备份仓库保护。

恢复必须隔离验证

恢复作业应写入新的空目录和隔离数据库，不覆盖正在接收写入的生产数据。完成后检查表数量、附件引用、关键配置和应用健康，再决定是否切换。定期恢复演练比“备份任务显示成功”更能证明灾备能力。

备份的目标不是生成一个大文件，而是在明确的恢复点重新启动完整服务。