chore: 记录改造前基线

改造开始前的完整状态，作为可回退的基点。此提交之后：Pester 175 项、零依赖套件 101 项全绿；PowerShell 5.1 尚不可用（源文件无 BOM）。

包含此前未提交的在制品：安全描述符套件、Hyper-V 实验环境（tools/lab）、agent 约定（AGENTS.md 与 docs/agents）。

.gitignore 增加 *.key / *.pfx：BackupConfig.psd1 的 PasswordFile 此前默认指向仓库内的 baknret.key，一次 git add -A 就会把口令提交进版本库。默认值在后续提交中改为空。

README.md

@@ -2,11 +2,17 @@
 
 把 `BackupList.txt` 里列出的软件 / 目录用 **7-Zip** 打包进 `Backups/`，并且能用 `Restore.ps1` 原样恢复的 Windows 备份工具。
 
-- 清单里**直接写软件名**即可（如 `FooClolor`），目录映射维护在 `SoftwareCatalog.psd1` 里。
-- 归档名就是软件名（`FooClolor.7z`），不再是 `FooClolor_from_C_+Programs.7z`。
+- 清单里**直接写软件名**即可（如 `Edge`），目录映射维护在 `SoftwareCatalog.psd1` 里。
+- 一个软件一个归档：**归档名 = 软件名**（`Edge.7z`），归档内按名录里的 **Slot 分层**
+  （`<Slot>\<该路径的内容>`），所以同一个软件里两个都叫 `persist` 的目录不会再撞在一起。
+- 清单行首 `+` = 仅备份、`-` = 仅恢复；两条路径共用同一份清单。
+- 排除 / 追加 / 加密都能写在 `SoftwareCatalog.psd1` 的 Slot 上，清单行里可以按条目覆盖。
 - 只依赖 PowerShell（5.1 或 7.x）与 7-Zip，**运行备份/恢复不需要任何模块**（只有跑 Pester 测试才需要 Pester 5）。
 - 每个归档写完后做 `7z t` 内容校验，**先写临时文件、校验通过再原子替换**。
 - 每次运行产出可核对的 `Backups/manifest.json` 与 `logs/*.log`。
+- 归档之外还保存 **NTFS 安全描述符**（属主 / 属组 / DACL）：每个归档旁边一份
+  `<归档名>.acl.json`，恢复时按它回放。这是"恢复之后原程序还能不能读写"的关键
+  （`C:\ProgramData` 下那些靠 `CREATOR OWNER` 授权的目录，见「安全描述符」一节）。
 - 退出码可靠：有失败就返回 `1`，计划任务能正确判断成败。
 - 备份结束做**孤儿归档审计**：磁盘上有、但没有任何清单条目指向的归档会被点名（它们恢复不到，别误删）。
 - 恢复支持 `-WhatIf` / `-DryRun` / `-VerifyOnly` / `-Only` / `-Skip`；其中三种"只看不写"的模式（`-WhatIf` / `-DryRun` / `-VerifyOnly`）**一个字节都不写**。
@@ -30,7 +36,7 @@
 .\Backup.ps1 -Force -AcceptWarnings
 
 # 4. 只备份 / 只恢复某几项（通配符匹配清单条目或归档名）
-.\Backup.ps1  -Only 'FooClolor','.ssh'
+.\Backup.ps1  -Only 'Edge','OpenSSH'
 .\Restore.ps1 -Only 'Edge' -Force
 
 # 5. 恢复前先看计划（恢复会覆盖真实目录，务必先看一眼）
@@ -44,60 +50,78 @@
 
 | 路径 | 作用 |
 | --- | --- |
-| `SoftwareCatalog.psd1` | **软件名 → 目录**的映射，清单里写软件名的依据 |
-| `BackupList.txt` | 备份 / 恢复共用的清单，唯一的"要备份什么"来源 |
+| `SoftwareCatalog.psd1` | **软件名 → Slot 组**的映射：每个 Slot 是一个目录/文件，以及它的排除、追加、加密、说明 |
+| `BackupList.txt` | 备份 / 恢复共用的清单，唯一的"要处理什么"来源 |
 | `BackupConfig.psd1` | 目录、空间阈值、校验、加密等配置 |
 | `Backup.ps1` / `Restore.ps1` | 备份 / 恢复入口 |
-| `Common.psm1` | 公共模块（日志、外部命令、解析、名录、manifest） |
+| `Common.psm1` | 公共模块（日志、外部命令、清单与名录解析、归档布局、暂存、manifest） |
 | `Backups/` | 归档与 `manifest.json`（已 gitignore） |
 | `logs/` | 每次运行的日志（已 gitignore） |
 | `tests/` | 测试：Pester 套件（`*.Tests.ps1`）、零依赖套件、端到端验收、真实归档恢复演练 |
 | `tools/Register-BackupTask.ps1` | 注册 / 移除计划任务 |
-| `tools/Rename-Archives.ps1` | 把按路径命名的旧归档重命名成软件名（默认试运行） |
+| `tools/Rename-Archives.ps1` | 把归档名对齐到当前清单规则（默认试运行） |
 | `tools/Install-TestDependencies.ps1` | 把 Pester 5 装到仓库内的 `.tools/`（不动机器上的全局模块） |
 
-## SoftwareCatalog.psd1 —— 软件名 → 目录
+## SoftwareCatalog.psd1 —— 软件名 → Slot 组
 
 ```powershell
 @{
-    # 1) 一个目录，直接写字符串
-    FooClolor = 'C:\Programs\FooClolor'
-
-    # 2) 一个目录 + 介绍（运行时会打印出来，推荐）
-    Kazumi = @{
-        Path        = '%AppData%\com.example\Kazumi'
-        Description = 'Kazumi 的观看记录与设置'
+    Edge = @{
+        # Slot = 归档内的一层目录：内容进 DefaultData\，恢复时整棵回到这个 Path
+        DefaultData = @{
+            Path        = '%LocalAppData%\Microsoft\Edge\User Data'
+            Exclude     = '!*Cache,!Crashpad,Default\Extensions,Default\Service Worker'
+            Description = 'Edge 用户数据：书签/密码/偏好/历史，以及站点数据'
+        }
     }
 
-    # 3) 一个软件 = 多个目录：写成对象数组，每个目录各自带说明
-    scoop = @(
-        @{
-            Path        = '%UserProfile%\scoop\persist'
-            Description = 'scoop 各应用的持久化数据（重装应用就会丢）'
-        }
-        @{
+    Scoop = @{
+        # 一个软件可以有多个 Slot；两个都叫 persist 的目录因此不再冲突
+        DefaultConfig = @{
             Path        = '%UserProfile%\.config\scoop'
+            Encrypt     = $true
             Description = 'scoop 自身的配置'
         }
-    )
+        UserPersist   = @{
+            Path        = '$(if ($env:SCOOP) { $env:SCOOP } else { Join-Path $env:USERPROFILE "scoop" })\persist'
+            Encrypt     = $true
+            Description = 'scoop 各应用的持久化数据'
+        }
+    }
 
-    # 含 - 或 . 的键必须加引号
-    '.ssh' = @{ Path = '%UserProfile%\.ssh'; Description = 'SSH 私钥（不可再生）' }
+    WindowsTerminal = @{
+        # Path 指向文件时，归档里就是一个名为 DefaultData 的文件（没有扩展名）
+        DefaultData = @{
+            Path        = '%LocalAppData%\Packages\Microsoft.WindowsTerminal_8wekyb3d8bbwe\LocalState\settings.json'
+            Encrypt     = $true
+            Description = 'Windows Terminal 的设置文件'
+        }
+    }
 }
 ```
 
+字段：
+
+| 字段 | 说明 |
+| --- | --- |
+| Slot 名 | **归档内的一层目录**。内容进 `<Slot>\`；Path 是文件时就是名为 `<Slot>` 的文件。同一软件里不能重名 |
+| `Path` | 宿主机上的绝对路径。支持 `%变量%` 与 `$( ... )` 子表达式 |
+| `Exclude` | 排除模式，相对本 Slot 的根，逗号分隔。`!` 打头 = 任意层级（7z 通配符），`!re:<正则>` = 正则 |
+| `Include` | 追加项，`<归档内相对路径>:<宿主机绝对路径>`，逗号分隔 |
+| `Encrypt` | 该归档是否加密，默认 `$false`。同一软件里若各 Slot 不一致，整个归档按**加密**处理 |
+| `Description` | 这个 Slot 是干什么的；运行时逐条打印 |
+
 要点：
 
-- **含 `-` 或 `.` 的键一定要加引号**，否则 PowerShell 会把 `a-b` 解析成减法表达式并报
-  `Missing '=' operator after key in hash literal`。这是最容易踩的一个坑。
-- 数组元素也接受**纯字符串**（`scoop = @('D:\a', 'D:\b')`），以及旧的
-  `@{ Dirs = @(...) }` / `@{ Variants = @(...) }` 写法 —— 三种都能用。
+- **`Path` 支持 `$( ... )`**：`$(if ($env:SCOOP) { $env:SCOOP } else { Join-Path $env:USERPROFILE "scoop" })`
+  会按 PowerShell 求值（求值结果会缓存，不会每个条目重复起进程）。
+  这类写法用了 `+` 拼接字符串时，`Import-PowerShellDataFile` 会拒绝，脚本会自动改用
+  PowerShell 求值——名录与配置是仓库里的本地文件，和脚本同级，信任级别相同。
 - **目录当前不存在也不会被丢掉**：备份时跳过并记 `missing-source`，但恢复时仍然知道
   "这块内容原本该回到哪个位置"，这正是恢复要用的。
-- **前缀补全**：写 `D:\Programs\legendary`，实际目录是 `legendary_2.0.4` 时会自动匹配。
-  只认 `<名>_*` 与 `<名>-*`，不会把 `Legendary` 误配成 `LegendarySomething`。
-- **一个软件里不能有两个同名目录**（例如两个 `persist`）：归档内的顶层名就是目录名，
-  那样会在包里混成一棵树。脚本会明确报错（退出码 1）让你拆成两个条目。
+- **前缀补全**：写 `D:\Programs\legendary`，实际目录是 `legendary_2.0.4` 时会自动匹配
+  （只认 `<名>_*` 与 `<名>-*`）。一个 Slot 只能对应一个目录，补全出多个会明确报错并让你拆 Slot。
+- **一个软件里不能有两个同名 Slot**，否则归档内会混成一棵树；脚本会明确报错。
 
 **分文件维护**：用 `Includes` 引入其它名录文件（路径相对本文件）：
 
@@ -111,88 +135,74 @@
 ## BackupList.txt 语法
 
 ```text
-<软件名 或 手写目录> [ :+ <再追加一个目录/软件名> ... ] [ :- <排除模式>[,<排除模式>...] ] [ @<标记> ]
+[+|-] <软件名 或 绝对路径> [ :: <绝对路径> ] [ :- <模式>[,<模式>...] ] [ :+ <追加项>[,<追加项>...] ]
+                            [ :encrypt | :!encrypt ] [ @ <Key>='<值>' ] [ # 说明 ]
 ```
 
-### 两种写法（混用没问题）
+修饰符必须是**独立的、前后带空白的记号**，所以路径里出现的 `:-`、`C:\a#b` 之类不会被误切。
+
+### 目标（二选一）
 
 | 写法 | 说明 |
 | --- | --- |
-| `FooClolor` | **软件名**：去 `SoftwareCatalog.psd1` 查目录，**归档名 = 软件名**。一个软件可以挂多个目录 |
-| `%UserProfile%\Documents\PowerShell` | **手写目录**：含 `\` `/` 或 `%` 就按路径处理，归档名沿用 `<末级名>_from_<上级路径>` |
-| `FooClolor @pathname` | 软件名 + 强制用路径命名。适合想换到名录体系但暂时不想改归档名的条目 |
+| `Edge` | **软件名**：去 `SoftwareCatalog.psd1` 查 Slot 组，**归档名 = 软件名** |
+| `C:\Programs\MiFlash` | **手写路径**：含 `\` `/` 或 `%` 就按路径处理，归档名 = `<末级名>_from_<上级路径用 + 连接>` |
+| `Edge @pathname` | 软件名 + 强制用路径命名（想换到名录体系但暂时不想改归档名时用） |
+
+### 行首方向标记
 
 | 标记 | 作用 |
 | --- | --- |
-| `encrypt` | 用 7z 加密该归档，见下文「加密」 |
-| `pathname` | 用路径命名算法而不是软件名 |
-| `root=<名>` | **尚未实现**：归档内的根目录始终是源目录名。用了会打印告警，不会静默失效 |
+| `+` | **仅备份，不恢复**（`Restore.ps1` 会跳过它；归档名照旧算"有主"的，不会被报成孤儿） |
+| `-` | **仅恢复，不备份**（`Backup.ps1` 会跳过它；适合放在别处、必要时才还原的目录） |
+| 无 | 既能备份也能恢复（默认） |
 
-### 两种写法都支持追加（`:+`）与排除（`:-`）
+### 修饰符
 
-| 记号 | 作用 |
-| --- | --- |
-| `:+` | **追加**一个目录；写成软件名时会按名录展开成它的全部目录。可以写多个、位置随意，追加进来的目录与主目录一起打进同一个归档 |
-| `:-` | **排除**模式（`::` 是历史别名，等价）。`,` 与 `;` 都当分隔符 |
+| 修饰符 | 等价写法 | 作用 |
+| --- | --- | --- |
+| `:: <绝对路径>` | `@ Path='<绝对路径>'` | 覆盖 Path（软件名条目只有一个 Slot 时可用） |
+| `:- <模式>[,...]` | `@ Exclude='<模式>'` | 排除模式（`,` `;` 都当分隔符），**覆盖**名录里各 Slot 的 Exclude |
+| `:+ <追加项>[,...]` | `@ Include='<追加项>'` | 追加项，语法 `<归档内相对路径>:<宿主机绝对路径>`，**覆盖**名录里的 Include |
+| `:encrypt` | `@ Encrypt='$true'` | 该条目加密 |
+| `:!encrypt` | `@ Encrypt='$false'` | 该条目不加密 |
+| `@ <Key>='<值>'` | — | 覆盖名录里的默认字段（目前支持 Path / Exclude / Include / Encrypt） |
+
+兼容的历史写法仍然认：`@encrypt` / `@!encrypt` / `@pathname` / `@root=<名>`（`root=` 已废弃，只会打印告警）。
 
 ```text
-# 软件名 + 追加 + 排除
-scoop :- !*Cache :+ D:\scoop-extra
+# 软件名：用名录里的 Slot 与排除；再把额外目录放进包内 Modules\ 位置
+Scoop :- GlobalPersist\steam\steamapps
 
-# 手写目录 + 追加 + 排除
-C:\Programs\MiFlash :+ MiFlash_Unlock :- MiFlash\logs\
+# 手写目录 + 排除
+C:\Programs\MiFlash :- MiFlash\logs\
+
+# 追加映射：把宿主机的 D:\extra\ps-modules 放到包内 Modules\ 下
+PowerShell :+ Modules:D:\extra\ps-modules
+
+# 覆盖加密（名录里默认加密时特别有用）
+PowerShell  @ Encrypt='$false'
+WindowsPowerShell  :!encrypt
 ```
 
-> 手写目录的 `:+` 以前会被整段丢掉（只有软件名写法才生效），现在已经修好。
+### 模式（排除 / 追加）怎么写
 
-### 行尾可以写"为什么"
+模式匹配的是**归档内的相对路径**，而且**相对本 Slot 的根**（也就是 `<Slot>\` 里面那一层）：
 
-行尾的 ` # 说明` 会被解析出来，运行时和目录介绍一起打印：
+| 形态 | 展开成 | 说明 |
+| --- | --- | --- |
+| `<相对路径>` | `-x!<Slot>\<相对路径>` | 锚定在归档根下这一份 |
+| `!<通配>` | `-xr!<通配>` | **任意层级**按组件名匹配，`*` `?` 是 7z 通配符（不是正则） |
+| `!re:<正则>` | 若干 `-x!<完整路径>` | **正则**：脚本自己遍历源目录把命中的路径展开成精确排除项 |
+| `GlobalPersist\steam` | `-x!GlobalPersist\steam` | 第一段是 Slot 名时，只作用在那一个 Slot 上 |
 
-```text
-Edge :- !*Cache,!Crashpad  # 缓存与崩溃转储都可再生，不进归档
-```
-
-`#` 必须前面有空白才算注释，所以路径里的 `C:\a#b` 不受影响。
-
-### 运行时会把每个条目的目录逐条介绍出来
-
-目录介绍来自 `SoftwareCatalog.psd1`，追加/排除的**来源**来自清单：
-
-```text
-[INFO] 条目：scoop
-[INFO]   归档：scoop
-[INFO]   说明：scoop 各应用的持久化数据 + scoop 自身配置
-[INFO]   目录 1/2：C:\Users\Shuery\scoop\persist
-[INFO]       来源：软件名录；存在，会打包
-[INFO]       介绍：scoop 里各应用的持久化数据（重装应用就会丢，必须备份）
-[INFO]   目录 2/2：C:\Users\Shuery\.config\scoop
-[INFO]       来源：软件名录；存在，会打包
-[INFO]       介绍：scoop 自身的配置（源、代理、已安装清单）
-[INFO]   排除 2 条（来自 BackupConfig.psd1 的 DefaultExcludes）：!Thumbs.db、!desktop.ini
-```
-
-`Restore.ps1` 也会打印"哪棵子树还原到哪个目录、会新建还是覆盖"。
-
-### 几个必须知道的约束
-
-- **同一条目里不能有两个同名目录。** 归档内的顶层名就是目录自己的名字，两个 `persist`
-  在包里会混成一棵树。脚本会在打包前明确报错（退出码 1）并让你拆成两个条目，不会静默混淆。
-- **多目录条目恢复时只解出各自那棵子树**，不会再出现"把兄弟目录也复制到别的父目录下"。
-- **归档名重复会直接报错。** 归档名就是软件名，所以同一个软件写两遍会让两个条目互相覆盖。
-
-排除模式本身的坑（工具会处理，写的时候知道就行）：
-
-- **模式里不要写引号。** `-x!"路径"` 会让引号成为模式的一部分，结果是**永不匹配**。
-- **模式里的空格会被自动转成 `?`。** 7z 的排除模式不支持空格：`Default\Code Cache` 匹配不到任何东西，`Default\Code?Cache` 才可以。
-- **以第一个 `::` 为界切分。** `:` 在 Windows 路径里只可能是盘符，`::` 不会出现在真实路径里，所以整行被一对引号包住的历史写法也能正确解析。
-- **归档名重复会直接报错。** 归档名就是软件名，所以同一个软件写两遍会让两个条目互相覆盖 —— 脚本拒绝执行并提示。
-- **不带 `!` 的普通模式是"相对归档根目录"锚定的**（展开成 `-x!<归档内完整路径>`），所以只排除根目录下那一份。
-  Edge 的 `OneAuth\WebView2\EBWebView\` 里还藏着一整套自己的 `Crashpad` / `BrowserMetrics` /
-  `ProvenanceData` / `optimization_guide`，根锚定模式碰不到它们 —— 这类可再生的东西要用
-  `!<组件名>`（展开成 `-xr!`）才会在任意层级命中。
-- **`!` 是按"路径组件"精确匹配，不是子串。** `!Crashpad` 不会误伤 `CrashpadMetrics.pma`
-  或 `ProvenanceDataTensors`，也不会漏掉嵌套的 `...\EBWebView\Crashpad\`。
+- `!*Cache` 一次覆盖 `Cache` / `Code Cache` / `GPUCache` / `DaemonCache` 等一批以 Cache 结尾的组件名。
+- 模式里**不要自己写引号**；模式里的空格会被自动转成 `?`（7z 的 `-x!` 不接受带空格的模式）。
+- 想把 `.log` 之类按正则排除就写 `!re:.*\.log$`；命中的目录会整棵剪掉，命中数超过 300 条会明确报错
+  （命令行长度有限），这时应该改用更粗的通配模式。
+- 不带 `!` 的模式是**锚定**的：Edge 的 `OneAuth\WebView2\EBWebView\` 里还有一整套自己的
+  `Crashpad` / `BrowserMetrics` / `ProvenanceData` / `optimization_guide`，锚定模式碰不到它们，
+  这些可再生的东西一律用 `!<组件名>` 才会在任意层级命中。
 
 实测效果（本机真实 Edge 配置，源 4619.9 MB）：
 
@@ -204,36 +214,178 @@ Edge :- !*Cache,!Crashpad  # 缓存与崩溃转储都可再生，不进归档
 书签、密码（`Login Data`）、`Cookies`、偏好、历史、`IndexedDB`、`Local Storage` 全部保留；
 缓存、组件缓存、Service Worker、扩展本体、遥测与优化数据全部排除。
 
-## 归档命名与迁移
+### 行尾可以写"为什么"
+
+行尾的 ` # 说明` 会被解析出来，运行时和 Slot 介绍一起打印：
+
+```text
+Edge :- !*Cache,!Crashpad  # 缓存与崩溃转储都可再生，不进归档
+```
+
+`#` 必须前面有空白才算注释，所以路径里的 `C:\a#b` 不受影响。
+
+### 运行时会把每个条目的归档项逐条介绍出来
+
+说明来自 `SoftwareCatalog.psd1` 的 Slot，追加/排除的**来源**来自清单：
+
+```text
+[INFO] 条目：Scoop
+[INFO]   归档：Scoop.7z；方向：备份 + 恢复；加密：是
+[INFO]   归档项 1/3：DefaultConfig  <-  C:\Users\Shuery\.config\scoop
+[INFO]       来源：软件名录；存在，会打包；目录
+[INFO]       介绍：Scoop 配置。
+[INFO]   归档项 2/3：GlobalPersist  <-  C:\ProgramData\scoop\persist
+[INFO]       来源：软件名录；存在，会打包；目录
+[INFO]   排除 1 条（来自清单的 :- / @ Exclude）：GlobalPersist\steam\steamapps
+[INFO]   排除 2 条（来自 BackupConfig.psd1 的 DefaultExcludes）：!Thumbs.db、!desktop.ini
+```
+
+`Restore.ps1` 也会打印"哪一项还原到哪个目录、是文件还是目录、会新建还是覆盖"。
+
+### 几个必须知道的约束
+
+- **归档名重复会直接报错。** 归档名 = 软件名字，所以同一个软件写两遍会让两个条目互相覆盖。
+- **同一软件里的 Slot 名不能重复**，追加项的归档内路径也不能和 Slot 撞；脚本会在打包前明确报错。
+- **一个条目挂多个归档项时，每一项只还原自己那棵子树**，不会把兄弟项也复制到别的父目录下。
+- **`::` 现在是"覆盖 Path"**，不再是 `:-` 的历史别名；排除一律写 `:-`。
+
+## 归档布局、命名与迁移
+
+### 包内长什么样
+
+| 条目类型 | 归档内部 |
+| --- | --- |
+| 软件名 + Slot 目录 | `<Slot>\<该 Path 的内容>` |
+| 软件名 + Slot 文件 | 一个名为 `<Slot>` 的文件（没有扩展名，恢复时还原成 Path 里的原名） |
+| 手写路径（目录） | `<路径末级名>\...`（与历史归档一致） |
+| 手写路径（文件） | 一个名为 `<路径末级名>` 的文件 |
+| `:+` / `Include` 追加项 | 你写的那个 `<归档内相对路径>`（目录就是目录，文件就是那个文件） |
+
+7z 没有"入库时改名"的能力，所以打包前会建一个**暂存目录**：目录项用 junction、
+文件项用硬链接（不可用时退回复制）按归档内的名字挂进去，打完立刻拆掉。
+建不出连接点时会**明确报错**，不会悄悄换成另一种布局——布局一变恢复就对不上了。
+
+### 归档名
 
 | 条目类型 | 归档名 |
 | --- | --- |
 | 软件名 | `<软件名>.7z` |
-| 字面路径 | `<末级名>_from_<上级路径用 + 连接>.7z` |
+| 字面路径 | `<末级名>_from_<上级路径用 + 连接>.7z`（`:` 归一化成 `_`） |
 | 软件名 + `@pathname` | 同字面路径 |
 
-从旧版本升级时用重命名工具把存量归档搬过来（**默认试运行**、逐份大小校验、重建 manifest）：
+> `::` / `@ Path=` 只改**从哪儿读**，不改归档名：软件名条目仍然叫 `<软件名>.7z`。
+> 想换归档名就用 `@pathname`，或者干脆把条目写成绝对路径。
 
-```powershell
-.\tools\Rename-Archives.ps1            # 先看计划
-.\tools\Rename-Archives.ps1 -Apply     # 确认后执行
+### 从旧版迁移（重要）
+
+1. **包内布局变了。** 重构前生成的归档，包内顶层是源目录名；现在软件名条目多了一层 Slot。
+   `Restore.ps1` 会识别这种情况（归档里没有该 Slot 时打印告警并按旧布局解），
+   所以**旧归档仍然恢复得出来**；但要让包内结构统一，跑一次 `.\Backup.ps1 -Force` 重打即可
+   （`-Force` 会忽略"源未更新"判断）。
+2. **手写路径条目的归档名可能变了。** 清单里把原来的软件名改成绝对路径之后，
+   归档名会从 `<软件名>` 变成 `<末级名>_from_<...>`。用重命名工具对齐（**默认试运行**、
+   逐份大小校验、重建 manifest，只改名不搬数据）：
+
+   ```powershell
+   .\tools\Rename-Archives.ps1            # 先看计划
+   .\tools\Rename-Archives.ps1 -Apply     # 确认后执行
+   ```
+
+   它会先用当前规则算出目标名，再从"路径命名算法 / 名录里的软件名 / manifest 里记录过的归档名"
+   里找磁盘上真实存在的旧文件。
+3. **名录里的 `Encrypt` 现在生效。** 如果某个 Slot 写了 `Encrypt = $true`（或清单里写了
+   `:encrypt`），但运行时取不到口令，该条目会**明确失败**，绝不会退化成明文归档。
+   先准备好 `$env:BAKNRET_PASSWORD` 或用 `-KeyFile` 指定密码文件再跑。
+4. **孤儿归档审计**会在每次备份后点名"磁盘上有、但清单里没有任何条目指向"的归档
+   （旧名字没迁移、条目被删掉或改名都会这样）。确认新归档校验通过之后再删旧文件。
+
+## 安全描述符（属主 / ACL）
+
+**问题**：归档格式装不下 NTFS 安全描述符 —— 7-Zip 的 `-sni`（Store NT security information）
+官方文档写明「当前版本只能写进 WIM 归档」，`.7z` 里一个字节的 ACL 都没有。
+于是"备份 → 恢复"之后，每个对象的安全描述符都是**新建对象的默认值**：属主是跑恢复脚本的
+那个进程，DACL 是从目标父目录继承来的那一套。
+
+**为什么这对 `C:\ProgramData` 是致命的**：那里的目录 ACL 里有
+
+```text
+(A;OICIIO;GA;;;CO)        CREATOR OWNER + inherit-only + GENERIC_ALL
 ```
 
-> **合并条目 = 换归档名。** 例如把 `scoop-config` / `scoop-persist` 合成一个 `scoop`
-> 数组条目后，归档名从两个变成 `scoop.7z`；旧的 `scoop-config.7z` / `scoop-persist.7z`
-> 就**没有清单条目指向了**（会出现在孤儿归档审计里）。确认新的 `scoop.7z` 校验通过之后
-> 再删旧的 —— 重命名工具只改名，不会合并归档内容。
+`CREATOR OWNER`（`S-1-3-0`）不是账户，是**访问检查时才替换的占位符** —— 替换成
+"被检查对象的属主"。所以这句话的真实含义是「谁创建的东西谁有全权」。只回放 ACE 文本、
+不恢复属主，等于把里面的"谁"换成了跑恢复脚本的账户，**原程序（服务账户 / 专用用户）
+反而没了读写权限**。真机实测（`tools\lab\Lab.ps1 acl-test`）：
+
+```text
+原属主       = S-1-5-18        (NT AUTHORITY\SYSTEM)
+恢复后属主   = S-1-5-18        ← 正确恢复（要靠显式启用的 SeRestorePrivilege）
+负对照属主   = S-1-5-32-544    ← 只搬文件、不回放安全描述符时，属主落到"跑脚本的账户"
+```
+
+**怎么做**：
+
+- 备份时把每个对象的 SDDL（`Get-Acl` 的原文，含 `O:` / `G:` / `D:`）写进旁挂文件
+  `Backups/<归档名>.acl.json`，键是**归档内相对路径**（目标机器上 `%UserProfile%` 和
+  名录的前缀补全都会变，只有归档内路径两端同源）。
+- SDDL 里的 SID 是**数值形式**，`CO` / `OW` 这类占位符原样保留。全程**不做账户名解析**
+  —— 名字解析会把占位符映射成当前用户，或者直接抛 `IdentityNotMappedException`，
+  那正是"权限落到脚本头上"的另一种成因。
+- 恢复时在**解压之后**、对真实目标路径**自顶向下**回放：父目录先写，子对象的继承才收敛。
+  原本不 `protected` 的 DACL 只写显式 ACE，其余交给父目录重新继承（保住活继承语义）；
+  `protected` 的原样写。
+- 写属主要 `SeRestorePrivilege`，而且**必须显式启用**：管理员的过滤令牌里它默认是 disabled，
+  `Set-Acl` / `SetAccessControl` 都不会替你打开。所以**恢复要在管理员（或 SYSTEM）下跑**，
+  脚本启动时会明确告警"属主将无法恢复，只能恢复 DACL"。
+- 写失败有三级回退：`属主+属组+DACL` → `属主+DACL` → `仅 DACL`（属组常常是最先失败的那个，
+  而它对访问判定几乎没影响，不能因为它把属主一起丢掉）。
+- 对象的安全描述符读不到（系统目录里很常见）时**带错误记账**、写进 sidecar 并计入 manifest
+  的 `security.errors`，恢复时跳过它并告警 —— 而不是当成"这个对象没有特殊权限"。
+
+配置在 `BackupConfig.psd1`：
+
+```powershell
+Security = @{
+    Mode        = 'Full'     # Off | Full | Smart | Roots
+    IncludeSacl = $false     # 连审计规则（SACL）一起存取，需要 SeSecurityPrivilege
+    SidMap      = @{}        # 跨机恢复的 SID 映射：@{ 'S-1-5-21-旧' = 'S-1-5-21-新' }
+    FailOnError = $false     # sidecar 写不出来时，是否把该条目算作失败
+}
+```
+
+- `Full`（默认）：每个对象都存。**正确性优先**，几万文件的树 sidecar 几 MB。
+- `Smart`：只存"继承复现不出来"的对象（protected / 有显式 ACE / 属主属组与父目录不同 /
+  继承链已脱节）。判据偏保守，但终究是启发式，所以不是默认。
+- `Roots`：只存每个归档项的根，最省。
+- `Off`：完全不采集，恢复出来的就是新建对象的默认值。
+
+`Restore.ps1` 另有 `-SkipSecurity` 可以只恢复文件内容。
+
+**已知取舍（有意为之）**：
+
+- 归档旁边没有 `acl.json` 的旧归档照常恢复，只是打一行告警说明"属主/ACL 是默认值"。
+- **陈旧继承 ACE 会被"冻结"**：如果某个对象的 DACL 里留着已经没有任何出处的继承 ACE
+  （父目录改过权限、Windows 自己也不会再传播它），那它靠继承复现不出来，只能整套冻结成
+  显式 ACE **并置 protected** —— 这是唯一"既不丢 ACE、也不产生重复 ACE"的做法（实测：
+  目标上原本就留着那条陈旧 ACE，再补一条显式 ACE 会让同一条 ACE 出现两次）。
+  代价是这个对象从此不跟随父目录，而它本来就已经跟父目录脱节了。
+- ACL 只跟着归档旁边的 `acl.json` 走：**搬归档时要把同名的 `.acl.json` 一起搬**。
 
 ## 恢复语义
 
-- 用 `7z x` 把归档里**该目标对应的那棵子树**解到目标的父目录，覆盖同名文件。
-- **归档内部布局与历史完全一致**：顶层仍是源目录名（软件名只用于归档文件名）。
-  所以恢复逻辑不需要"剥掉一层"，现有归档也不会因为重命名而解不开。
-- **一个条目挂多个目录时，每个目录只还原自己那棵子树**，不会把兄弟目录也复制到别的父目录下。
+- 每一项只解出**它自己那棵子树**（`<Slot>` / `<末级名>`），不会把兄弟项也复制到别的父目录下。
+- **目录项**：在目标的父目录下建一个指向目标目录的 junction，让 7z 直接写穿它落地（零拷贝），
+  解完立刻拆掉连接点。建不出连接点（父目录里已有同名实体、目标卷不支持等）时，
+  退回"先解到临时目录再逐项合并"——只慢不错。
+- **文件项**：解到临时目录后把文件搬到 `Path` 指定的位置（恢复原名）。
+- **旧布局兜底**：归档里没有该 Slot 时（重构前的归档）会打印告警，退回到旧布局
+  （把目标的末级名直接解到目标的父目录），与重构前的恢复语义一致。
 - **不做镜像同步**：目标目录里多出来的文件不会被删除。想得到"完全等于归档"的目录，请先清空目标。
+- 行首 `+`（仅备份）的条目不恢复；行首 `-`（仅恢复）的条目照常恢复。
 - 目标目录比归档新时**默认跳过**，需要覆盖就加 `-Force`。
 - `-WhatIf` / `-DryRun` 只打印计划；`-VerifyOnly` 只跑 `7z t`。
   这三种模式**一个字节都不写**（`manifest.json` 也不会被碰）。
+- 加密归档取不到口令时**直接失败**，不会让 7z 停在控制台等输入（在计划任务里那会静默挂起）。
 - **排除规则只在下一份归档里生效**：已经生成的归档不会因为改了排除表而"变干净"。
 
 ## manifest.json
@@ -244,7 +396,8 @@ Edge :- !*Cache,!Crashpad  # 缓存与崩溃转储都可再生，不进归档
 | --- | --- |
 | `source` | 清单里的原始写法（软件名或路径） |
 | `resolvedSource` | 展开后的路径 |
-| `roots` | 归档内**真实**的顶层条目名（就是源目录 / 源文件名；只统计真实存在的源）。每次重新处理该条目时刷新 |
+| `roots` | 归档内**真实**的顶层条目名（就是 Slot 名 / 源目录名 / 追加项的归档内路径；只统计真实存在的项）。每次重新处理该条目时刷新 |
+| `layouts` | 每个归档项的 `{ name, kind }`（`dir` / `file`），恢复端在目标还不存在时靠它判断"该还原成目录还是文件" |
 | `catalog` | 名录里记录的路径（便于追溯软件名到底指向哪） |
 | `archive` | 归档文件名 |
 | `action` | `backed-up` / `skip-unchanged` / `missing-source` / `invalid-path` / `failed` / `planned` |
@@ -314,9 +467,12 @@ Edge :- !*Cache,!Crashpad  # 缓存与崩溃转储都可再生，不进归档
 默认关闭 —— 一旦开启而口令丢失，备份就再也解不开。
 
 ```powershell
-# 方式一：只为个别条目加密（.ssh 里是私钥，最典型）
-#   在 BackupList.txt 里写成：
-#   .ssh @encrypt
+# 方式一：给某个 Slot 加密（私钥、浏览器数据这类最典型）
+#   SoftwareCatalog.psd1:
+#       OpenSSH = @{ DefaultData = @{ Path = '%UserProfile%\.ssh'; Encrypt = $true } }
+#   或在 BackupList.txt 的条目上写：
+#       Edge :encrypt
+#       PowerShell @ Encrypt='$false'      # 反过来，关掉名录里的默认加密
 
 # 方式二：全部加密，改配置
 #   Encryption = @{ Enabled = $true; PasswordFile = 'D:\secret\baknret.key' }
@@ -326,7 +482,8 @@ $env:BAKNRET_PASSWORD = '...'      # 或
 .\Backup.ps1 -KeyFile 'D:\secret\baknret.key'   # 文件首行即口令
 ```
 
-要求加密但取不到口令时，该条目会**明确失败**，绝不会退化成明文归档。
+一个软件一个归档：名录里各 Slot 的 `Encrypt` 不一致时，**整个归档按加密处理**（宁可多加密，不可漏加密），
+并打印告警。要求加密但取不到口令时，该条目会**明确失败**，绝不会退化成明文归档。
 恢复加密归档时同理：取不到口令就直接失败，不会让 7z 停在控制台等待输入（在计划任务里那会静默挂起）。
 
 > ⚠️ 7-Zip 只接受命令行口令，口令在本机进程列表里会短暂可见。这是 7z 本身的限制，请自行权衡。
@@ -347,10 +504,11 @@ $env:BAKNRET_PASSWORD = '...'      # 或
 
 | 套件 | 命令 | 需要什么 | 覆盖 |
 | --- | --- | --- | --- |
-| **Pester 套件**（推荐） | `.\tests\Run-Pester.ps1` | Pester 5.0+ 与 7z | 88 项：解析、命名、排除翻译、命令行拼接、manifest / 配置 / 名录、**两种写法 × `:+`/`:-`**，外加**用子进程真正跑 `Backup.ps1` / `Restore.ps1`** 的端到端与回归 |
-| 零依赖套件 | `.\tests\Run-Tests.ps1` | 只要 PowerShell + 7z | 49 项：同样的单元面，适合没装 Pester 的机器 |
-| 端到端验收 | `.\tests\Run-E2E.ps1` | 只要 PowerShell + 7z | 23 项：备份 → 确认排除生效 → 删源 → 恢复 → 逐字节对拍 |
-| **真实归档恢复演练** | `.\tests\Restore-Drill.ps1` | 只要 PowerShell + 7z | 把 `Backups/` 里**真实的那批归档**解到临时目录，再和活源逐字节对拍（全程不碰真实目录） |
+| **Pester 套件**（推荐） | `.\tests\Run-Pester.ps1` | Pester 5.0+ 与 7z | 150 项：清单语法（方向 / `::` / `:-` / `:+` / `:encrypt` / `@ Key='值'` / 整行引号与记号边界）、Slot 结构名录、归档命名、排除翻译（`-x!` / `-xr!` / `!re:`）、Slot 前缀分配、暂存、manifest / 配置 / 名录，外加**用子进程真正跑 `Backup.ps1` / `Restore.ps1`** 的端到端与回归 |
+| 零依赖套件 | `.\tests\Run-Tests.ps1` | 只要 PowerShell + 7z | 101 项：同样的单元面，适合没装 Pester 的机器 |
+| 端到端验收 | `.\tests\Run-E2E.ps1` | 只要 PowerShell + 7z | 36 项：备份 → 确认排除生效 → 删源 → 恢复 → 逐字节对拍，含 `<Slot>\` 布局、文件 Slot、方向标记与旧布局回退 |
+| **真实归档恢复演练** | `.\tests\Restore-Drill.ps1` | 只要 PowerShell + 7z | 12 个真实归档：解到临时目录再和活源逐字节对拍（全程不碰真实目录） |
+| **安全描述符套件** | `.\tests\Run-Pester.ps1`（内含 `BakNRet.Security.Tests.ps1`） | Pester 5 + 7z | 25 项：排除判定与 7z `-x!/-xr!` 语义对齐、SID 映射边界（前缀 SID 不被误伤）、采集与 sidecar 往返、回放（`CREATOR OWNER` + 孤儿 SID + `protected` 逐字节一致）、以及真的用子进程跑 `Backup.ps1`/`Restore.ps1` 做端到端 |
 
 演练会把"源在备份之后变过"和"归档/解压有问题"分开：内容不一致时看活源文件的修改时间，
 晚于归档时间就算"源变了"（只提示），不晚于归档时间却内容不同才算失败。真实机器上的归档
@@ -379,8 +537,16 @@ Pester 套件里的端到端用例是**用子进程**跑 `Backup.ps1` / `Restore
 | `Start-Process -PassThru` 的 `ExitCode` 在 PowerShell 7.7.0-preview.4 上恒为 `$null` | 压缩明明成功却报"压缩失败"，`exit 2 → 删档重试` 的自愈分支永远不可达 | 用 `.NET Process` 继承控制台启动，退出码可靠 |
 | 排除模式写成 `-x!"路径"` | 引号成为模式的一部分，**排除对所有条目都失效** | 不再嵌引号；含空格自动转 `?`，`!` 前缀走 `-xr!` |
 | 解析器用 `;` 分隔，清单里写的是 `,` | 整串被当成一个模式，等于没有排除 | `,` 与 `;` 都支持 |
-| `^"([^"]+)"` 贪婪匹配 | 整行加引号的写法把排除表吞进路径 → 该条目被静默跳过，2.8 GB 归档成了孤儿 | 先按 `::` 切分再处理引号 |
+| `^"([^"]+)"` 贪婪匹配 | 整行加引号的写法把排除表吞进路径 → 该条目被静默跳过，2.8 GB 归档成了孤儿 | 先按空白分词切出修饰符，再处理引号 |
 | 归档名由路径拼出 | 加一条备份要自己算名字，名字随路径变动 | 清单写软件名，归档名就是软件名 |
+| 一个软件里两个同名目录（例如两个 `persist`） | 静默混成一棵树，两边的数据都错 | 名录改成 **Slot 结构**，每个 Slot 是归档内的一层目录，同名不再冲突 |
+| 清单只能"备份 + 恢复"一把抓 | 想只备份的、只恢复的条目得另开文件 | 行首 `+` / `-` 直接标方向，两条路径共用一份清单 |
+| `::` 既是"排除"又是历史别名 | 语义含糊：`::` 一会儿是排除、一会儿是路径 | `::` 只表示**覆盖 Path**，排除一律写 `:-` |
+| 加密只能靠裸标记 `@encrypt` | 名录里的加密意图没法表达 | `:encrypt` / `:!encrypt` / `@ Encrypt='$false'`，名录的 Slot 也能写 `Encrypt` |
+| 排除/追加只能写在清单行里 | 名录里的 Slot 光有路径，规则全堆在清单里 | `Exclude` / `Include` / `Encrypt` 都可以写在 Slot 上，清单按需覆盖 |
+| `!` 只能按通配符匹配 | 想按正则排除做不到 | 新增 `!re:<正则>`（脚本遍历源目录翻译成精确排除项） |
+| 名录路径只支持 `%变量%` | `scoop prefix xxx` 这类动态路径写不出来 | `Path` 支持 `$( ... )` 子表达式，并在一次运行内缓存求值结果 |
+| 名录每解析一个条目就重新 Import 一次 | 同一个文件被反复读取、`$( ... )` 被反复执行 | 按内容指纹缓存，一次运行只读一次 |
 | 直接更新已有归档（7z `u`） | 固实归档下收益极小，且排除规则与"源里已删的文件"永远反映不到归档里 | 临时文件 → `7z t` 校验 → 原子替换 |
 | 没有校验、没有记录 | 中断留下的半个归档会被下次 `u` 续写；跳过/失败只有一行滚过去的 WARN | 校验 + 原子替换 + `manifest.json` + 日志文件 |
 | 结尾不 `exit` | 全部失败也返回 0，计划任务永远显示成功 | 有失败返回 1 |
@@ -389,12 +555,11 @@ Pester 套件里的端到端用例是**用子进程**跑 `Backup.ps1` / `Restore
 | 恢复没有干跑 | 直接覆盖 `E:\CodeSpace`、Edge User Data 这类真实目录 | `-WhatIf` / `-DryRun` / `-VerifyOnly` / `-Only` |
 | `manifest.json` 的 `roots` | 记的是软件名，与归档里真实的顶层目录对不上（`Edge` vs `User Data`） | 记归档内真实的顶层条目名，并且和归档内容对账过 |
 | `-DryRun` / `-WhatIf` / `-VerifyOnly` | 仍然写回 `manifest.json`，违背"不会写入任何文件" | 只有真的恢复成功了才写回（用 manifest 的 SHA256 前后对比验证） |
-| 孤儿归档 | 只在恢复时列一下；带 `-Only` 时还会把未选中的归档误报成孤儿，吓得人不敢删 | 备份端也做孤儿审计；`-Only` / `-Skip` 时不再误报 |
-| `Resolve-BackupEntry` 里的 `$rootName` | 在赋值之前就被引用，会读到外层作用域残留的值 | 提前赋值，回归测试钉死 |
-| 手写目录的 `:+` 追加 | 被整段丢掉（只有软件名写法才生效），既没人报错也没人知道 | 两种写法都生效，追加项还会标出来源（名录展开 / 字面路径） |
-| 软件名录的多目录写法 | 只有 `@{ Dirs = @(...) }`，没有"这个目录是干什么的" | 支持**对象数组**（`Path` + `Description`），运行时逐条介绍 |
-| 多目录条目的恢复 | 把整包解压到每个位置的父目录，会在别的父目录下凭空冒出兄弟目录 | 每个源只解出**它自己那棵子树** |
-| 同一条目里两个同名目录 | 静默混成一棵树，两边的数据都错 | 打包前明确报错（退出码 1）并提示拆成两个条目 |
+| 孤儿归档 | 只在恢复时列一下；带 `-Only` 时还会把未选中的归档误报成孤儿，吓得人不敢删 | 备份端也做孤儿审计；`-Only` / `-Skip` 时不再误报；`+` / `-` 的条目也算"有主" |
+| 手写目录的 `:+` 追加 | 被整段丢掉（只有软件名写法才生效），既没人报错也没人知道 | 两种写法都生效，追加项还会标出来源（名录 / 追加项） |
+| 软件名录的多目录写法 | 一个软件可以挂多个目录，但目录名不能重复，否则包内混成一棵树 | 改成 **Slot 结构**：每个 Slot 是包内一层目录，同名目录（两个 `persist`）不再冲突 |
+| 一个条目挂多个目录的恢复 | 把整包解压到每个位置的父目录，会在别的父目录下凭空冒出兄弟目录 | 每个归档项只解出**它自己那棵子树** |
+| 归档内路径冲突 | 静默混成一棵树，两边的数据都错 | 打包前明确报错（退出码 1）并提示改 Slot 名 / 归档内相对路径 |
 | 运行时的可解释性 | 只有一行"开始备份: X" | 逐条打印目录、来源、介绍、排除/追加的出处与理由；备份前还会预估所需空间并判断够不够 |
 | manifest 的 `archive` 字段 | 源不存在的条目也留着归档名，指向一个根本不存在的文件；恢复时白报"归档不存在" | 只在文件真的存在时才写；删掉归档后同步一次就自我纠正 |
 | 没有名录、manifest、测试、README，不是 git 仓库 | — | 都有 |
@@ -402,20 +567,49 @@ Pester 套件里的端到端用例是**用子进程**跑 `Backup.ps1` / `Restore
 ## 设计取舍（有意为之，不是遗漏）
 
 - **放弃 7z 的更新模式（`u`）。** 7z 默认固实压缩，`u` 本来就要重压大部分数据，收益很小，却让"排除规则改动"和"源里删掉的文件"永远进不了归档。
-- **归档内部不套一层软件名目录。** 考虑过用暂存目录（硬链/复制）把归档根目录改成软件名，代价是多一次链接开销、实现复杂度上升，收益只是"解开包第一层好看"。归档名已经是软件名，包内保持源目录名也便于确认内容来源。顺带一提，7z 的 `-spf` 不是干这个的（它是 *use fully qualified file paths*）。
+- **包内用 Slot 分层，靠暂存目录改名。** 7z 没有"入库时改名"的能力，所以打包前建一个暂存目录，
+  把每个归档项按包内名字挂进去（目录走 junction、文件走硬链接/复制），打完立刻拆掉。
+  代价是每份归档多一次 junction 开销；收益是**一个软件可以有多个目录而不怕重名**
+  （scoop 的用户 `persist` 与全局 `persist` 就属于这种），恢复时也能精确地"只解这一棵子树"。
+  建不出连接点时**明确报错**，不悄悄退化成另一种布局。顺带一提，7z 的 `-spf` 不是干这个的
+  （它是 *use fully qualified file paths*）。
+- **恢复用 junction 零拷贝落地。** 目标父目录下建一个指向目标的 junction，让 7z 直接写穿它，
+  解完立刻拆掉；建不出来就退回"先解到临时目录再合并"。这样不必把大归档整体搬两遍。
 - **不捕获压缩工具的输出。** 结构化记录交给日志与 `manifest.json`；捕获子进程 stdio 需要额外管道，在受限环境里会直接失败。
 - **有警告（退出码 1）时不覆盖完整的归档。** 被占用的文件会让 7z 返回 1，此时新归档是**不完整**的。实测 Edge 运行时打包，118 个文件读不到，其中包含 `Login Data`（密码）、`Cookies`、`History`、`Web Data`。所以在位归档完整时脚本**保留它、报失败、退出码 1**，确认可以接受再显式加 `-AcceptWarnings`。
-- **名录里的路径不存在时，恢复仍然可用。** 源被删掉正是要恢复的场景，所以解析器照旧给出 `Sources`，备份端则据此跳过。
+- **名录里的路径不存在时，恢复仍然可用。** 源被删掉正是要恢复的场景，所以解析器照旧给出 `Items`，备份端则据此跳过。
 - **源路径不存在只算"跳过"，不算失败。** 会以 `missing-source` 记进 manifest。失败只统计真正打不开的条目。
+- **`@ Path=` 覆盖只允许单 Slot 条目。** 多 Slot 时"覆盖"根本没有唯一含义，直接报错比猜一个 Slot 好。
+- **旧归档用"旧布局兜底"而不是拒绝恢复。** 重构前的归档包内没有 Slot 层，
+  恢复时按 Slot 解会失败，脚本捕获后按旧布局（目标的末级名）再试一次，
+  并在日志里说清楚——旧备份仍然救得回来。
 
 ## 已知限制
 
-- **改软件名等于换归档名。** 改名后旧归档不会被自动迁移，用 `tools/Rename-Archives.ps1` 或手动改名，并注意 manifest 里会留下旧键。
+- **改软件名 / 改 Slot 名等于换归档结构。** 改名后旧归档不会被自动迁移，用 `tools/Rename-Archives.ps1` 或手动改名，
+  并注意 manifest 里会留下旧键；Slot 名变了则需要重打（`-Force`）。
 - 路径里本来就含 `+` 或 `_from_` 时，仅靠文件名无法可靠反推路径，此时依赖 `manifest.json`。
 - `-Snapshot` 目前是"复制一份带时间戳的副本"，不做自动轮转清理（`KeepCount` / `KeepDays` 尚未实现）。
 - 加密归档的常规备份/恢复不依赖 `RAR`；`RAR` 与内置 `ZIP` 分支仅作降级，未做加密支持（ZIP 明确拒绝加密请求）。
-- `Variants`（同名目录分散在多处）当前打包第一个位置；恢复时每个源只解出**它自己那棵子树**，不会把兄弟目录复制到别的父目录下。
-- **`root=<名>` 标记尚未实现。** 归档内的根目录始终是源目录名（见「设计取舍」）。7z 命令行没有"入库时改名"的能力；用了该标记会打印告警，不会静默失效。
+  内置 ZIP 分支也不支持排除规则（`Compress-Archive` 没有对应开关），只保证内容完整。
+- **暂存改名需要能建目录连接点（junction）。** 暂存目录在 `%TEMP%`（NTFS 即可），目标源目录跨盘也没问题；
+  建不出连接点时该条目会明确失败，而不会静默换成别的布局。恢复时的 junction 建不出来会自动退回"临时目录 + 合并"。
+- **一个 Slot 只能对应一个目录。** 前缀补全命中多个候选（同名目录分散在多处）时会报错并让你拆成多个 Slot，
+  而不是任选一个。
+- **`!re:` 有量级上限。** 正则命中的路径超过 300 条、或排除参数超过命令行安全长度时会明确失败；
+  这种场景应改用更粗的通配模式。
+- **`root=<名>` 标记已废弃。** 包内的一层目录现在由 Slot 决定；写了该标记只会打印告警。
 - **空间只做"预估 + 提示"，不做全局拦截。** 备份前会打印预计峰值新增和"够不够"的结论；
   不够时**只告警不中断**，真正放不下的条目交给逐条目守卫跳过。`MinFreeSpaceGB` 是告警阈值。
   想稳妥跑完就先腾空间，或用 `-Only` / `-Skip` 分批。
+- **恢复安全描述符需要管理员（或 SYSTEM）。** 非提权时属主写不进去（`SeRestorePrivilege`
+  不在令牌里），脚本会退化到"只恢复 DACL"并明确告警 —— 那不是失败，但 `CREATOR OWNER`
+  会判给"当前属主"，所以依赖它的程序可能仍然没权限。
+- **`acl.json` 要跟归档一起搬。** 它不在归档里（7z 装不下），改名 / 迁移归档时要用
+  `tools\Rename-Archives.ps1` 或手工把同名旁挂文件一起改。
+- **7z 会跟随 junction**（不是存成链接，因为 `-snl` 只对 WIM/TAR 生效）：所以 scoop 那种
+  `apps\<app>\current` 的连接点，备份时会把目标内容一并收进归档（体积翻倍），恢复后
+  `current` 变成**真实目录**。功能上仍然可用（`current\bin\...` 路径还在），但要心里有数。
+- **跨机恢复要配 `Security.SidMap`**：本机不存在的 SID 写进 DACL 是安全的（那条 ACE 只是
+  永不匹配），但写进**属主**会让谁都没有合理所有权 —— 换域 / 换机时请给映射，或接受
+  "属主未恢复"的告警。服务账户（`NT SERVICE\X`）的 SID 是按名字算出来的，跨机一致。