三步搞定权责分离、数据闭环与审计留痕

　　V2EX上又刷到那个帖子了，标题叫《三步搞定权责分离、数据闭环与审计留痕》，点开看了两行就关掉——不是不想看，是胃里一紧。去年4月份我刚在测试环境把 audit_log 表字段加到第七版 schema 时，老张穿着拖鞋踩着楼梯上来，手里拎着半盒凉透的蟹粉小笼包，汤汁漏了一路，滴在机柜侧面的散热孔盖上，滋啦一声。他当时说：“你这留痕，连我泡茶时间都记，有啥用？”我没回。现在回了，就是这篇。

　　先扔结论：它站得住的地方，是优胜劣汰。不是靠设计精妙，是靠活人扛不住——扛不住的自动滚蛋，扛住的，顺手就把三件事给焊死了。我原以为得配专职审计岗、上区块链存证、搞RBAC+ABAC双模策略引擎，结果？去年4月12号下午三点零七分，我们删掉第三个冗余中间件，跑通最后一段流水线，服务器风扇声突然小了两档。那一刻我就知道，完事了。这个我敢打包票。

　　第一块石头是“权责分离”。不是划流程图，是拆权限入口。我们原来所有操作都走 admin 后台一个路由 /api/v1/action，参数带 type、target_id、action_code，后端拿 if-else 撑了三年。直到财务部老李在生产库直接 exec update 语句改了一笔应付账款，没走任何接口——他账号是 superadmin，但他根本不知道自己有这个权限。这事之后，我们砍掉全部通用 action 接口，只留三类：/user/op、/sys/op、/audit/op。每个路径必须绑定明确 role scope 和 ip 白名单段。那天下午我在工位改 Nginx 配置，窗外开始下雨，雨点砸在机房南侧玻璃上像敲沙锤，啪、啪、啪，每一声都对应一条 location 块的重写规则。改完重启 nginx，老李来问“我刚才点那个‘核销’按钮怎么变灰了”，我头都没抬，说“你角色没加 sys_op 权限组”。他哦了一声，转身去泡茶，水壶嘴歪着，水流冲歪了杯沿上一小片茶叶渣。

　　第二步“数据闭环”，真不是画个箭头循环图就算完。是我们把日志落盘动作从“异步写入 Kafka”改成“同步 fsync 到本地 SSD 的 audit_disk/ 目录”，强制要求 write() 后立刻 sync_file_range()。别跟我提可靠性，Kafka broker 有一回凌晨崩过四分钟，日志丢了十七秒，够改三笔应收。我们认这个账。但同步落盘之后，运维老马开始天天盯着 iostat -x 1，盯着看着看着就开始数机柜顶灯管嗡鸣频率——他说第3根灯管每次转速波动0.7Hz，硬盘队列延迟准涨3ms。这事儿跟闭环有毛关系？没有。可他就数。我也数过三天，后来不数了，因为第5次报修，厂商说是电容老化，换掉就没事。我说不准这老化和灯管有没有物理耦合，反正我不信。

文章配图，仅供参考

　　第三步“审计留痕”，最假大空的词儿，最真刀真枪干。我们没做全链路 trace_id 透传，没接 OpenTelemetry，就两条铁规：1）所有 INSERT/UPDATE/DELETE 必须带 context_meta 字段，结构固定为 {"uid":"u_721","from_ip":"10.24.9.112","via":"web_admin_v2.3.1"}；2）这个字段必须由前端 SDK 自动注入，后端严禁伪造。有次前端发版，忘了升级 SDK 版本号，context_meta 里 via 还是 v2.2.8，触发风控脚本直接拒掉整批操作。当时我正蹲在机房门口吃盒饭，红烧肉酱汁糊在安卓手机屏上，手指滑两下才解开锁。看到告警钉钉弹出来，第一反应不是骂人，是抄起手机拍下屏幕——因为酱汁反光把那行 "via: web_admin_v2.2.8" 显得特别清楚，像打了高亮。现在那张图还在我的微信收藏夹里，备注是“2023年4月某日下午，肉酱证明SDK版本失控”。

　　说到SDK，想起前两天和隔壁团队吵架。他们坚持用 grpc-gateway 转 HTTP，说“统一网关方便治理”。我说你们 log middleware 拿不到原始请求体，context_meta 往哪塞？他们甩给我一段 proto，字段都定义好了。我翻了两页，看见 comment 里写着 “// TODO: handle multi-part form for audit”. 我没说话，把筷子上的青菜叶拨进盒饭边角，然后关掉了网页。这事儿和三步没关系，但我就想记下来——有人连 audit 是什么体裁都还没读明白，就在画 UML 图了。

　　最后补一句：这三步不是蓝图，是创可贴。贴在伤口上，血没止住之前，先看清是谁捅的、用了多大力、捅完往哪走了。优胜劣汰？对。但淘汰的不是人，是那些以为“配个 audit_log 表=有了审计”的念头。现在我每天早上第一件事不是看 Kibana dashboard，是检查 audit_disk/ 下面昨天的文件数是否比前天多三到五。不多不少。多了说明有人偷偷绕过 SDK 手写 curl；少了……少了可能是磁盘满了，也可能是有人卸了 rsync。所以今天我打算去机房，把老马数过的那根灯管换掉。他总说嗡鸣影响判断，可我试过戴耳塞，噪音小了，反而听不见硬盘寻道声了。有些声音，得留着。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!