程序把结果直接写到最终文件名，看起来最省事。但写到一半时磁盘空间不足、进程退出，或者用户误把旧结果覆盖了，目录里就可能留下一个名字正常、内容却不完整的文件。

对重要输出，可以把保存过程拆成临时写入、校验和正式提交三个步骤。

先写临时文件

为本次操作创建独有的临时文件，写入结束并关闭文件后，再准备提交到最终位置。临时文件最好位于目标文件所在的文件系统中，方便使用该文件系统支持的重命名或替换操作。

这个过程可以概括为：

创建独有临时文件
    ↓
写入并关闭
    ↓
检查内容
    ↓
按约定提交到最终名称

临时名称只是中间状态的标记，不是保密措施。敏感内容仍需要合适的访问权限；清理策略也要区分“可以丢弃的临时输出”和“等待恢复的重要结果”。

校验文件是否符合预期

检查可以从简单规则开始：长度是否合理，文本能否解析，字段是否齐全，记录数量是否符合预期。如果文件将在不同位置间复制，还可以计算摘要以便比较内容是否一致。

下面是分块计算 SHA-256 摘要的通用示例，避免一次把大文件全部读入内存：

from hashlib import sha256

def file_digest(path):
    digest = sha256()
    with open(path, "rb") as stream:
        for block in iter(lambda: stream.read(1024 * 1024), b""):
            digest.update(block)
    return digest.hexdigest()

摘要能帮助发现内容变化，但不会证明文件来源可信，也不能判断业务内容是否正确。若需要检查传输结果，原始摘要本身也必须可靠保存。

明确覆盖规则

提交前要决定：目标文件已经存在时，是报错、生成新版本，还是允许替换？这些规则应由调用者明确选择。

“先检查不存在，再写入”在并发场景下可能发生竞争：检查后，另一进程仍可能创建同名文件。需要禁止覆盖时，应采用平台支持的独占创建或其他无覆盖提交机制，并处理提交失败。

同一文件系统上的重命名常被用作提交步骤，但其原子性、覆盖行为和持久性保证要结合具体接口确认。跨文件系统移动可能变成复制和删除；网络盘和同步目录也可能有不同表现。

把恢复路径一起设计

错误信息最好说明失败发生在写入、校验还是提交阶段，并指出是否保留了可恢复的临时结果。记录日志时，只保留排查所需的信息，避免输出文件中的敏感内容。

对断电后的持久性有要求，还要考虑文件及目录的同步操作，以及存储设备的实际保证。任何保存流程都不能替代备份；定期验证备份能否恢复，才能确认另一份数据确实可用。