直接用 open(..., 'w') 不安全，因程序崩溃时会先清空原文件再写入，导致数据丢失；应使用 os.replace() 实现原子写：先写临时文件、刷新落盘、再原子重命名。
为什么直接用 open(..., 'w') 不安全
程序崩溃、断电或被强制终止时，open(..., 'w') 会直接清空原文件再写入，中途失败就只剩一个空文件或损坏内容。这不是“没写完”，而是“旧数据已丢、新数据不全”——配置文件、数据库快照、关键状态文件一旦这样就无法恢复。
用 os.replace() 实现跨平台原子替换
核心逻辑是：先写临时文件 → 刷新落盘 → 原子重命名。这个重命名在 POSIX 和 Windows 上都不可中断（只要源和目标在同一文件系统）。
-
os.replace()比os.rename()更可靠：后者在 Windows 上遇到已存在目标文件会报错，前者能覆盖 - 临时文件必须和目标文件在同一个目录下，否则
os.replace()可能退化为复制+删除，失去原子性 - 务必调用
f.flush()和os.fsync(f.fileno())，否则内容可能还卡在内存缓冲区 - 推荐用
tempfile.NamedTemporaryFile(delete=False, dir=...)生成临时路径，避免命名冲突
小文件 vs 大文件的处理差异
对几 KB 的配置文件或 JSON 状态文件，原子写开销可忽略；但对几百 MB 的导出文件，频繁生成临时副本会吃光磁盘空间或拖慢 I/O，尤其在容器或低配环境里。
- 小文件：直接走标准原子写流程，安全无负担
- 大文件：写完临时文件后，建议先用
hashlib.blake2b()校验内容一致性，再os.replace() - Windows 下若目标文件正被其他进程以独占方式打开（如记事本），
os.replace()会抛PermissionError: [WinError 5]，需捕获并加延迟重试（最多 3 次）
别踩这些坑
很多看似“差不多”的写法实际不安全，容易被忽略：
立即学习“Python免费学习笔记（深入）”；
- 不用
shutil.move()替代os.replace()：它在跨文件系统时会 fallback 到复制+删除 - 不用
os.remove() + os.rename()组合：Windows 上不是原子操作 - 不要在
with块里手动调f.close()：会导致退出时二次 close 报错 - 避免用
open(target_path, 'r')长时间持有读句柄：读取方应声明共享权限（如win32file.FILE_SHARE_READ），否则 Windows 上替换会失败
真正难的不是写出原子写函数，而是在每个调用点都记得校验路径、处理异常、预留重试、适配大小文件场景——这些细节堆叠起来，才构成生产环境里的“安全”。
