6.3 安全与合规实践：过审计的底气

6.3 安全与合规实践：过审计的底气

本节摘要：合规不是上线前的一次性大扫除，而是配置阶段就养成的记账习惯。本节从审计视角倒推，给出账号治理、权限复核、数据留存与出口管控、日志留痕四组自检项，把散落在 2、3、5 章的安全螺丝拧成一本经得起翻的账。

开发过程叫装配，审计过程叫盘账。盘点一台用低代码平台快速搭出来的应用，审计方关心的从来不是技术多新，而是四件事：谁能进、进了能干什么、数据放在哪留多久、出了事能不能查。这四问恰好对应四组自检项——本节按这个顺序把账本立起来。

一、账号与入口：谁能进

账号治理的第一原则是一个入口一个身份。平台内置账号用于系统管理员与应急备份；企业用户统一走企业认证方式接入（如对接组织的统一登录），账号的创建与停用跟随人事流程，不在平台里手工批量造人。密钥治理同样归这组：API 密钥按系统对接逐个发放、逐个登记用途，绝不多系统共用一把钥匙——3.3 的规矩在这里从建议变成硬要求。

入口面还包括传输与暴露面：访问统一走加密传输，平台端口不对公网裸奔，管理后台不暴露在测试地址。这些在 5.1 的拓扑里都排过，自检时对着拓扑图逐项确认即可。

二、权限复核：进了能干什么

权限账本的核对对象是 3.3 的三层锁。自检方式不是打开界面目测，而是导出权限矩阵与实际配置比对：每个角色的授权是否仍与其职责匹配、有没有为临时任务开的口子忘了收、有没有角色长期无人使用。临时授权要设有效期——「活动期间临时开放导出」这类口子，必须在活动结束的清单里回收。

给权限复核配一个机器帮手：定期用测试账号脚本抽查关键越权路径。下面这帧会话是抽查「销售角色直连接口读他人客户」的标准动作：

# 越权抽查：用销售角色的令牌请求他人的客户记录
# 预期：返回空列表或无权限错误，绝不返回他人数据行
curl -s "https://平台地址/api/customers?filter=%7B%22owner%22%3A%22他人ID%22%7D" \
  -H "Authorization: Bearer <销售角色测试令牌>"

# 抽查记录归档：日期 / 账号 / 请求 / 结果 / 结论，入合规账本
​

抽查脚本与 5.2 的巡检合并执行，每月一轮，结果归档。审计方最喜欢这类记录——它证明权限不是配完就忘的死配置，而是被持续验证的活机制。

三、数据留存与出口：放在哪、留多久、出得去吗

数据合规的三道题：存哪、留多久、怎么走。存哪：私有化部署是 NocoBase 的主场优势，数据在自家的库里，敏感字段在 3.3 已用字段权限收口；更进一步，对身份证号这类高敏信息，原则是能不存就不存、必须存就脱敏或加密后存。留多久：按组织的留存制度给核心数据定保留期与到期处置方式，附件目录定期清理过期文件。怎么走：数据导出通道（界面导出、API、备份介质）逐一登记，导出权限收紧到指定角色，导出行为有日志可查。

敏感字段处置的配置对照表值得放进账本：

四、日志与留痕：出了事能查吗

审计的最后一块拼图是可追溯性，落在三处。操作留痕：平台侧的关键操作日志按 5.1 的拓扑接入代理日志与服务日志，保留期与数据留存制度对齐。流程留痕：工作流执行记录天然入库，3.1 的排障记录在审计时就是业务过程的证据链。变更留痕：平台配置的变更靠发布记录（5.1 的四步工序自带），权限变更靠 3.3 的矩阵变更记录。三处留痕的共同点是有据可查、有人认账——审计要的不是完美的系统，是诚实的账。

把四组自检项收进一张季度自检表，跑完签字归档：

季度合规自检表（骨架）：
  □ 账号：认证方式统一，无手工批量账号，密钥台账与用途对得上
  □ 入口：传输加密、端口闭门、后台不外露，与拓扑图一致
  □ 权限：矩阵比对无漂移，临时授权已回收，越权抽查通过
  □ 数据：敏感字段处置符合对照表，保留期与清理在执行
  □ 出口：导出授权最小化，导出日志有抽查
  □ 留痕：三类留痕齐全，保留期达标
  记录人 / 日期 / 发现问题与整改责任
​

⚠️ 常见坑：把合规当上线前的一次性突击。突击过得了第一次检查，过不了季度抽查——低代码平台的配置随时在变，合规必须跟着配置的节奏走，所以本节的动作全部设计成可定期重复的例行项。

💡 关键直觉：审计的通过率在立项那天就决定了——账号、权限、留痕的记账习惯从首应用就开始，账本自然齐；上线前补账，补出来的账本自己都不敢信。

自检表跑起来：第一轮怎么开

制度写得再全，第一轮跑不起来都是空文。实操建议从一个小时的「快跑版」开始：不做全量自检，只挑最疼的三项——越权抽查（本节的命令）、备份恢复（5.1 的演练）、密钥盘点（台账对实物）。三项各二十分钟，跑完你就对自家环境的真实水位有了体感，再按季度扩展到全表。自检发现的问题按「发现问题、整改动作、责任人、期限」四栏记进表尾，下一轮自检先验上一轮的整改——闭环才是自检区别于走过场的全部尊严。

把自检节奏挂进已有的运维日历：季度的第一次巡检周顺带跑自检，5.2 的清单管平时，6.3 的表格管季度，两层网互补而不重复。等某天审计真上门，你递出去的就是三样东西：季度自检表、越权抽查记录、备份演练记录——审计方最想看的「机制在运转」的证据，全在这三摞纸里。

敏感数据的分级小抄

「敏感字段」四个字要落地，得先分级。给一张够用的小抄，四级处置各不相同：

数据分级小抄：
  法定标识级  身份证号、生物特征：原则不存，必须存则加密加审计
  敏感个人级  手机号、薪资、健康信息：字段权限收口，导出单独授权
  商业机密级  报价、成本、客户归属：角色隔离加矩阵留痕
  一般业务级  流水、状态、备注：正常存储，按制度定留存期
  判断口诀：泄露之后伤害谁，就按谁的尺度定级
​

分级的价值在于把「要不要加密」这类争论变成查表题。新字段进表时顺手定级，写进字段备注；日后新角色申请权限，按级处置有据可依。多数组织的纠结都发生在没分级的字段上——分级这件事的门槛是动手画第一张表，之后全是执行。

装配要点回顾

• 审计四问：谁能进、能干什么、数据在哪留多久、出事能否查，四组自检项由此倒推；
• 一个入口一个身份：企业认证统一接入，密钥逐个登记，不共用不手造；
• 权限活机制：矩阵比对加越权抽查，临时授权设回收清单；
• 数据三道题：存哪、留多久、怎么走，敏感字段按对照表处置；
• 三类留痕：操作、流程、变更，诚实齐整的账比完美的系统更经查；
• 下一步：6.4 走出组织，把你的经验反哺给备件库本身。