工程上最危险的不是完全不可用，而是在理想环境里正常、进入真实网络和真实数据量后悄悄失去边界。 File 对象本身可以惰性读取，但 arrayBuffer() 会分配完整副本；切片、加密、哈希和 DataChannel 排队若各复制一次，峰值可达文件数倍。
性能优化先定义用户等待的完整区间，再拆分 CPU、队列、网络和持久化阶段。平均值会掩盖真正流失用户的尾延迟，优化必须比较 p95/p99 与资源成本。
工程边界与取舍
落地时要把关键选择变成稳定契约：输入如何校验、状态由谁推进、资源何时释放、旧版本如何降级。只有这样，后续优化才不会改变原有语义。
- 按有限块流式读取并把 ArrayBuffer 转移到 Worker，确认发送缓冲下降后才读下一窗口；记录 inFlightBytes 而不是只数块。
- 所有输入都设置大小、次数和时间预算，并在超限时返回可操作的稳定错误码。
- 上线参数必须有保守默认值、服务端上限和灰度开关，不能把浏览器传来的数字直接当作资源预算。
“浏览器大文件内存压力：不要把整个文件和副本同时塞进 RAM”的交付标准是正常路径可用、异常路径收敛、资源有界，并且用户能理解系统为何采用当前状态。 这样得到的不是演示代码，而是能解释、能降级、能回滚的生产能力。
生产环境会怎样出错
不要把异常路径理解成弹一次提示。它还包括在途工作如何停、对端如何获知、残留数据如何处置，以及下一次操作是否会继承旧状态。
- 固定并发十六块在块大小自适应变大后突破内存预算；保留每块 Uint8Array 视图的闭包又阻止底层 buffer 回收。
- 刷新或网络切换同时触发两条恢复路径，重复副作用被误当成两次真实用户操作。
- 指标标签直接包含用户或任务标识，既制造高基数成本，也让诊断数据泄露不必要的身份信息。
把测试跑成闭环
测试不能以“最后成功了”结束。还要测量经历了多少次副作用、等待多久、是否泄露内容，以及失败后再次执行能否从干净基线开始。
- 在桌面和低内存移动设备传输超过可用 RAM 的文件，记录峰值 JS heap、原生缓冲、GC 暂停和断点恢复完整性。
- 用乱序、重复和延迟消息驱动状态机，确认旧版本被丢弃且显式停止不会被自动恢复覆盖。
- 对日志和埋点做字段白名单检查，证明内容载荷、密钥、完整 IP 与用户可识别信息不会离开设备。
最终结果应同时满足正确性、可恢复性和可解释性。任何一项只能依赖刷新页面或工程师猜测，都说明协议闭环仍不完整。