可靠性

文件存在，不代表写入已经完成。把输出分成临时写入、内容校验和正式提交，可以让失败更容易识别和恢复。