查询与导出操作记录

按对象编号一查，就能看到一件事从头到尾的经过；导出是数据离开系统的正门，要有限时、用一次作废的授权，文件先留痕、后交出。导出与模型调用的留痕，都与动作在同一事务里写，写不进留痕就不交付，留痕里带着投影版本。导出文件离开系统之后的使用不在留痕范围，需要水印或数据防泄漏时，要另外加产品。

按对象查记录

留痕按对象查：对象类型加编号，得到这件事从头到尾的动作，每条有时间、经手人与动作；依据的规则版本分散记在各领域的记录里。留痕的写入与校验见留痕与证据链。

上图是工作台里的留痕页。顶部切换今天、本周、本月；中间的柱图按小时显示留痕密度，点一根柱只看该时段。左下是操作留痕的时间线，右下按对象汇总。选中一个对象后，右栏给出这个对象的动作条数与经手人，底部是「导出为审计底稿」。

排序用写入序号，不用时间。同一个事务里写下的两条，时间戳可能相同，只按时间排，它们的先后是随机的。写入序号只增不减，同一事务内的两条也有确定的先后；配一条以序号结尾的索引，一个对象的全部记录取出时已经排好，不必整表再排。

序号反映的是写入的先后。跨对象、跨工作区的事件，是否「因果在先」，不要用序号推断。

被拒绝的尝试也在这里查到。业务拒绝会让整个请求事务回滚，所以拒绝痕在请求事务之外的独立连接里写，放在专表，只记命令、对象与拒绝码，不记载荷原文。读侧把两张表合并，每行带「已生效」或「已拒绝」标记。

要问「这张单经过了哪些人」，查一个对象就够，被拒的尝试也在同一条时间线上。

导出定义表

导出定义表一行一张报表。改一行就改导出规则，不改程序。

示例：

资金流水明细的口径见资金流水。

需审批的导出走审批流转里的同一套审批。批准后系统签发一张授权：限时，用一次即作废，时长写在定义表里。

先留痕后交付

一次导出的次序固定：

1. 申请人选报表与筛选条件，列限在列集之内。
2. 系统查导出定义表；需审批的，批准后拿到授权。
3. 导出时，同一个事务里写一行导出留痕。
4. 留痕写成，文件交出。留痕写不进，文件不交。

次序的难点在文件摘要。导出留痕记着文件摘要，事后可用同一算法核对交出的文件。摘要要先有文件才能算，所以文件先生成，留痕随后写入，写成之后才把文件交给调用方。反过来，先交文件再补记，写失败时文件已经出去，留痕缺了一行，没人知道。

每次导出的留痕记八项：

审计时问「谁在何时导出了哪些列」，导出留痕给出答案，授权单号还能追回当时的审批。

限制与不适用

• 导出与留痕绑定：留痕写不进，文件就不交，导出会因此失败。
• 重试须有边界：授权只能用一次；重试若没有边界，失败就可以无限重试。
• 大导出占事务：取数放在同一事务里时，导出越大，事务越长。
• 范围边界：留痕只记系统内的动作，文件离开系统之后的使用不在其中。
• 水印与数据防泄漏不在这套机制里。

其他做法

与常见做法对照

数据外流的管控，通行的是出口审批，加上水印或数据防泄漏（DLP）：前者管能不能出，后者管文件出去之后的追踪与拦截。SZV 的导出做了前一半，并多了一步：每次导出的筛选、列、行数与文件摘要都写进留痕，事后可追溯到授权单。后一半不在这套机制里。

NIST SP 800-53 的 AU-9 要求保护审计信息，包括限制谁能访问它。留痕里记了谁导出了什么，这份留痕本身谁能读，按企业要求在合同中约定。

验收时可以问的问题

• 请现场导出一张需审批的报表，再在导出留痕里查这一次的授权单号，顺着它追回当时的审批。
• 留痕页的排序用写入序号：请现场查一组跨工作区的事件，对照写入序号看先后。

相关页

• 留痕与证据链：留痕怎样写入，能防什么、不能防什么。
• 谁能做什么：谁能看到哪些对象，导出授权的资格从哪里判定。
• 审批流转：需审批的导出怎样走审批。
• 资金流水：资金流水明细的口径。