全球部署与合规：多区域、数据主权与 GDPR 落地

计算层：Serverless/边缘 → 天然全球就近（Vercel/Cloudflare 全球 PoP）
数据层：数据驻留（存到特定区域）→ 需要「区域化数据库」
关键：计算可全球，数据要驻留 → 「就近计算 + 本区域数据」

按用户地域路由到对应区域：
  DNS Geo 路由 / 边缘函数按 IP 区域判断 → 请求到就近或合规区域

// 边缘按区域路由
export default {
  async fetch(req: Request) {
    const country = req.headers.get('cf-ipcountry') || 'US'
    if (country === 'CN') return routeTo('cn-region', req)
    if (country === 'DE') return routeTo('eu-region', req)   // GDPR 驻留
    return routeTo('global', req)
  }
}

多区域 ≠ 简单复制：要定义「主区域 + 灾备区域」
跨区域复制注意：数据是否允许跨区备份（合规约束）

CDN 边缘缓存静态资源到全球 PoP → 就近访问、降低源站负载
Cloudflare：300+ PoP；Vercel Edge Network：全球边缘
静态资源（HTML/JS/图片）→ 全部进边缘缓存

1. 页面可能含用户数据 → 不能盲目全缓存
2. 区域化缓存：特定区域缓存特定内容
3. 缓存隐私：带认证的内容不要进共享 CDN
4. Cookie/用户态页面 → 不缓存 或 按用户分段

// 边缘：认证页面不缓存
export async function middleware(request: Request) {
  const response = NextResponse.next()
  if (request.cookies.get('session')) {
    response.headers.set('Cache-Control', 'private, no-store')
  }
  return response
}

Cloudflare Data Localization Suite：
  请求只在指定区域处理（数据不离开区域）
  是「边缘层」满足数据驻留的手段

1. 数据分类：明确哪些数据受「驻留约束」
2. 区域数据库：EU 数据存 EU 库（如 Supabase 欧洲区）
3. 路由绑定：按用户区域把请求路由到对应区域数据
4. 备份约束：跨境备份需合规评估

# 示例：Supabase 欧洲区域
# 创建项目时选 EU Central (Frankfurt) → 数据驻留欧盟
supabase projects create --org <org> --db-pass <pw> --region eu-central-1

欧盟用户 → 数据入欧盟库（GDPR 驻留）
中国用户 → 数据入境内（PIPL 境内存储）
其他     → 就近默认区域
实现：边缘按 cf-ipcountry 决定「读写哪个区域的数据」

1. 充分性认定：目标国有「充分保护水平」认定（如欧盟→日本）
2. 标准合同条款（SCC）：双方签署欧盟标准条款
3. 例外情形：用户明确同意/必要履行合同

中国 PIPL 视角：
  重要数据出境 → 安全评估/认证/标准合同
  个人数据出境 → 告知 + 单独同意 + 必要最小

1. 数据本地化：能存本地就不跨境（区域库 + 区域路由）
2. 数据脱敏后出境：分析用假名化/聚合数据
3. 权限最小化：跨境接口只传必要字段
4. 加密传输 + 访问日志

跨境传输要能证明「基于什么依据」
保留：同意记录、SCC 签署、评估报告、日志

只收集/存储「业务必需」的数据：
  不该存的不存（完整 IP、精确位置可能非必需）
  能聚合的聚合（分析用聚合指标，不用明细 PII）
  设保留期（TTL/自动删除）

用户权利：访问、更正、删除、导出、撤回同意
工程落地：
  1. 删除：找到该用户所有数据 → 级联删除（或脱敏）
  2. 导出：聚合用户数据 → 标准格式交付
  3. 撤回同意：撤销处理依据

// 用户删除请求处理（示意）
async function handleDeleteRequest(userId: string) {
  await db.transaction(async (tx) => {
    await tx.delete('orders').where({ userId })
    await tx.delete('profiles').where({ userId })
    // 日志/审计数据：脱敏而非真删
    await tx.update('audit_log').where({ userId }).set({ userId: 'redacted' })
  })
}

1. 数据地图：什么数据存在哪（区域/系统/保留期）
2. 处理记录（RoPA）：处理目的、依据、流向
3. 定期评估：DPIA（数据保护影响评估）
4. 泄露响应：72 小时报告（GDPR）、及时通知（PIPL）

中国大陆服务器/域名解析 → 必须 ICP 备案
关键点：
  1. 服务器在中国大陆（阿里云/腾讯云等）→ 必须备案
  2. 纯境外托管（Cloudflare 免费版无中国大陆节点）→ 不强制但访问慢
  3. 备案主体与网站一致，约 1-3 周

方案一：境内服务器 + 备案（阿里云/腾讯云 + 境内 CDN）→ 合规且快
方案二：境外托管 + 中国大陆 CDN（需已备案域名）→ 边缘接入
方案三：Cloudflare 中国网络（与京东云合作，需企业/备案）

1. 重要数据境内存储（法律规定场景）
2. 个人信息处理要「告知-同意」
3. 敏感个人信息（生物识别/位置等）单独同意
4. 向境外提供个人信息 → 单独同意 + 安全评估/标准合同
5. 个人信息保护负责人/合规审计

用户（EU/CN/US）
  ↓ 边缘路由（cf-ipcountry）
EU 用户 → 欧盟区域函数 + 欧盟数据库（GDPR 驻留）
CN 用户 → 中国区域服务（备案）+ 境内存储（PIPL）
US 用户 → 默认全球区域
  ↓
缓存：静态全球缓存；隐私页面 private/no-store
文件：R2/S3 按区域桶
分析：脱敏/聚合后入数仓（最小化）
合规：数据地图 + 处理记录 + 泄露响应 + 定期审计