7 月 20日线上协作遇到典型事故：连续 3 小时调用 LLM API，AI 反复确认文档已落地保存，但服务器磁盘找不到任何 md/json 文件。
表面看对话正常、API 返回 200，实质上零有效产出。
复盘后发现大量 API 开发者存在同一个认知误区：
下发 Prompt 指令让 AI “保存文件”，等同于文件会真实写入服务器磁盘。
这里先抛出最重要原理：
原生 LLM API 没有操作系统文件 IO 权限！模型只能输出文本字符串，无法直接读写磁盘。
文件持久化必须由调用 API 的后端 / 客户端程序完成；AI 说 “已保存文件” 仅仅是文本层面的应答，模型的回答是正确的，是我们自己的代码辜负了它的“承诺”。
5 分钟内磁盘无 md/json 真实写入 = AI 没有实质产出。这不叫幻觉，这叫架构失职。
一、30 秒三项自检清单（API 开发必加监控）
按顺序排查，任意一项不通过，判定为虚假交付
磁盘写入记录：5 分钟内是否存在 md/json 真实磁盘写入路径？
❌ 无写入记录：单纯对话演戏，系统未执行持久化代码。
文件可访问性：落地文件访问返回 HTTP 200？
❌ 404：路径拼接错误、静态路由未配置、文件写入失败。
内容完整性【人工抽检】 ：可手动编辑落地后的目标文件？
❌ 无法修改 / 只读 / 空文件：落盘流程为假，只模拟表象。
API 开发者额外增加一条专属校验
API 响应体中是否携带完整文档原始内容？
无正文：检查 Prompt 设计或模型调用参数。
有完整正文：问题 100% 锁定在后端持久化代码链路（本次事故根因）。注意，这不属于模型幻觉！
二、5 条标准化修复流程（建议直接写入项目规范）
执行顺序不可随意调换
强制优先输出草稿先行落盘
无论后续流程，先让 AI 输出稳定主题草稿；后端拿到 API 返回内容必须立刻、强制性地持久化，杜绝空跑。
统一规范文件命名规则
强制短英文 slug + 日期目录：YYYY-MM-DD/short-english-slug.md
规避中文路径导致静态资源 404、不同系统路径解析异常。
构建“写入证明（Write Proof）”闭环（核心强化） 文件写入完成不能直接标记任务成功。必须按顺序完成：
写前验证：检查目标目录是否存在、是否可写。
原子写入：先写入临时文件（如 .tmp），写入成功后再重命名为目标文件，防止中途失败产生空文件。
写后证明：使用 fs.stat 检查文件大小 > 0；并通过内部 HTTP 客户端或 curl 请求该文件的静态地址，状态码必须为 200。此时，才能算任务真正闭环。
增加定时自动化校验机制
配置 Cron 任务每日对指定产出目录进行扫描，统计文件数量与总大小，生成“预期产出 vs 实际产出”的空窗期报告，并邮件通知责任人，持续监控自动化工作流可用性。
代码审查强制门禁
所有涉及 LLM API 调用的 PR（合并请求），必须由 Reviewer 确认代码中包含从响应体提取内容并执行磁盘 IO 的明确逻辑，从流程上杜绝再次踩坑。
三、给所有 LLM API 开发者的教训
很多自动化 AI 工作流隐患是隐性的：API 调用不报错、对话日志完整，等到需要调取文件时，才发现长时间持续零产出，大量算力与时间白白消耗。
AI 助手只对话不落地文件 = 没有产出。
不要依靠 AI 口头反馈作为交付凭证，必须建立独立于大模型之外的外部客观校验（磁盘、HTTP、文件权限）。
四、延伸思考
使用 Function Calling 工具调用文件写入，是否就能彻底避免？ 答：依然不能。工具调用同样存在调用失败、未执行、模型虚构 tool call 的风险，外部磁盘校验仍是最终防线。
云端对象存储（OSS/COS）场景如何适配这套方案？ 答：思路一致：把 “磁盘写入” 替换为对象存储上传记录，校验文件元数据 + 对象访问 HTTP 200。