File.WriteAllText 不够原子，因先清空再写入，崩溃会导致文件损坏；Windows 用 File.Replace 实现原子替换，跨平台需临时文件+File.Move 并校验同卷、备份、完整性。
为什么直接 File.WriteAllText 不够原子
它先清空原文件，再写入新内容；若写到一半进程崩溃或断电，文件就只剩半截数据。这不是“覆盖”，是“删+写”两步，中间没保护。
常见现象：程序重启后读到空文件、截断的 JSON、损坏的 XML —— 尤其在日志轮转、配置保存、状态快照等场景下特别致命。
- Windows 上
File.Replace是真正的原子替换（基于 NTFS 重命名语义） - .NET Core 2.1+ 和 .NET 5+ 支持跨平台的
File.Copy+File.Move组合，但注意：Linux/macOS 的rename(2)仅对同文件系统原子，跨磁盘会失败 - 不要依赖
File.AppendAllText做“追加安全”——它不保证单次写入的完整性，多线程并发时仍可能交错
用 File.Replace 实现 Windows 原子写入
它把新内容先写到临时文件，再用系统级原子重命名替换原文件，失败时自动清理临时文件。
关键点：
- 临时文件必须和目标文件在同一个卷（否则抛
IOException） - 调用前确保目标路径可写，且没有其他进程正以独占方式打开该文件
-
File.Replace第三个参数（ignoreMetadataErrors）建议设为true，避免因只读/隐藏属性导致替换失败
string tempPath = Path.GetTempFileName();
try
{
File.WriteAllText(tempPath, content);
File.Replace(tempPath, targetPath, backupPath, ignoreMetadataErrors: true);
}
catch
{
if (File.Exists(tempPath)) File.Delete(tempPath);
throw;
}
跨平台兼容方案：先写临时文件再 File.Move
File.Move 在同文件系统内是原子的（底层调用 rename），但需手动处理失败回滚和清理。
必须检查：
- 源和目标是否在同一驱动器（
Path.GetPathRoot(a) == Path.GetPathRoot(b)） - 目标文件是否存在？存在则先备份（否则
Move会失败） - 临时文件写完后，务必用
File.GetLastWriteTimeUtc或哈希校验确认内容完整，再执行 Move
示例逻辑片段：
string tempPath = targetPath + ".tmp";
string backupPath = targetPath + ".bak";
try
{
File.WriteAllText(tempPath, content);
if (File.Exists(targetPath))
File.Move(targetPath, backupPath);
File.Move(tempPath, targetPath);
}
catch
{
if (File.Exists(tempPath)) File.Delete(tempPath);
throw;
}
别忽略的细节：权限、缓存和并发
即使用了原子替换，以下问题仍会导致“看似成功实则损坏”：
- 写临时文件时磁盘满 →
IOException，但异常处理没删干净临时文件，下次又撞上同名冲突 - 目标目录无写权限 →
UnauthorizedAccessException，但错误被静默吞掉 - 多个线程同时写同一文件 → 即使原子，也可能互相覆盖；需外层加
lock或用ConcurrentDictionary控制写入队列 - .NET 默认启用文件缓冲 → 写入后立即
File.Move可能触发未刷盘数据丢失；Windows 上可对临时文件调用FileStream.Flush(true)强制落盘（Linux/macOS 效果有限）
最易被跳过的一步：每次写入前检查 File.GetAttributes(path) 是否含 ReadOnly，否则 Replace 直接失败。
