审计日志

01 功能介绍：先明确能查到什么

从「平台管理 → 系统设置 → 审计日志」进入。已接入的记录包括部分账号维护、角色权限变更和认证事件；每类操作记录哪些字段，由该操作实际写入的内容决定。不能因为下拉框出现某种动作，就认定这个业务的全部操作都有完整记录。

本页提供日志查询、详情查看、IP 复制和 CSV 导出，没有新建、修改、删除、恢复日志或重试业务操作的入口。看到一条提交记录，也不等于相关后台任务已经完成。

02 使用前：准备账号、对象与发生时间

1. 确认所在环境和当前租户，账号需要「审计读取」权限。
2. 准备发生操作的账号用户名或邮箱、动作类型、大致时间，以及业务对象的完整标识。不要只留一个可能重名的显示名称。
3. 对照截图或工单时，先确认双方设备时区。页面时间按浏览器所在时区显示，不因中文界面就固定为北京时间。
4. 若正在排查同步失败，先保留对应业务页面的任务标识与错误信息；审计页不代替同步任务的逐项结果。

账号与员工资料的区别参阅用户管理与系统设置，功能权限配置参阅角色管理。

03 查询定位：类别、操作与关键词组合

1. 在「全部类别」选择认证、权限、租户或业务等实际出现的类别；未知类别会显示原始编码。
2. 在「全部操作」选择目标动作，例如「更新用户」。两个下拉条件同时生效，不是满足任意一个即可。
3. 在「搜索操作 / 用户 / IP」输入动作编码、账号用户名或邮箱的一部分，按回车回到第一页核对结果。输入变化本身也会触发查询，请等本次加载结束再判断。
4. 先查看总条数，再用「上一页」「下一页」逐页核对。每页 20 条，没有每页条数调整入口。
5. 需要重新开始时，将两个下拉框恢复为「全部类别」「全部操作」，清空关键词并按回车；有关键词时也可点击输入框右侧叉号清除并回第一页。

当前搜索提示中的 IP 尚未被实际查询支持。关键词只匹配动作编码、账号用户名和邮箱，不查 IP、资源 ID、元数据或员工姓名。中文动作标签也不会自动转换为编码；例如要搜「更新用户」，可选择该操作，或输入 user.update。

切换类别或操作不会自动回到第一页。在后续页缩小范围后出现空表，先在搜索框按回车回第一页，不要立刻判断没有记录。动作选项来自已有记录，最多展示按编码排序的 50 种；选项缺失不等于从未发生，可尝试动作编码关键词。下拉选项加载失败时也可能只剩「全部」选项，重新进入页面再检查。

04 筛选与时间：按最新记录逐步回查

页面目前没有日期范围、操作人、资源类型或成功/失败的独立筛选控件，也没有默认「最近七天」之类的时间限制。账号通过关键词查找；发生时间用于阅读与比对结果，不能按旧说明寻找日期选择器。

记录默认按记录时间从新到旧排列，表头不提供切换排序。相同时间的多条记录不要按画面先后认定严格的业务执行顺序；分页期间有新记录写入时，页间位置也可能变化。

核对跨日事件时，将双方时间换算到同一时区，再检查前后相邻记录。页面显示到秒，导出的时间为原始日期时间文本，显示格式、精度与时区表达可能不同；不要只比较“几号”就判断丢失了一天。

右上角圆形箭头重新读取当前页和筛选结果，不会发起业务同步、重新执行操作或补写缺失审计。打开着的详情是那次列表载入的内容；需要重新核对时，关闭详情、刷新列表，再打开对应记录。

05 记录解读：用户、动作与对象分开核对

• 时间：审计记录的时间，不是所有业务阶段的完成时间。
• 用户：账号用户名及邮箱。查询时会关联当前账号资料，因此不能把它视为账号资料的历史冻结副本。无法取得用户名时显示「系统」，不一定代表自动任务；未识别账号的失败事件也可能如此。
• 类别与操作：类别用于归组，操作用于识别事件。尚未配置中文名称的动作会显示原始编码。
• 详情摘要：可能显示资源类型、截短的资源 ID，以及新值中的前几个字段名。它不等于完整变更内容，必须打开详情确认完整对象。
• IP 地址：该记录写入时提供的地址，缺失显示横线；不能仅凭同一 IP 认定同一个人。

页面没有独立的统一「结果」列。当前登录失败记录使用 auth.login.failure，可能直接显示这个编码，而不是「登录失败」，也不一定显示红点。请结合动作与元数据中的实际说明判断；普通动作旁的灰点不是“失败”。

06 详情追踪：先认对象，再读字段差异

1. 在目标行最右侧「查看」列点击眼睛图标，打开「审计详情」。核对标题下的动作和时间，避免打开邻近记录。
2. 查看类别、操作、用户、邮箱、资源、完整资源 ID、IP 和 UA。UA 是记录提供的客户端信息，缺失时不要自行推断浏览器或设备。
3. 阅读「字段差异」中的字段、旧值、新值，再向下对照完整「旧值」「新值」文本。差异按最外层字段比较，嵌套对象不会拆成逐条子字段变化。
4. 查看「元数据」是否有这类操作实际提供的原因或上下文。没有提供请求标识、业务关联号或失败原因时，本页不会自动补齐。
5. 回到业务页面，用完整对象标识核对当前状态；交接时附上动作、时间及时区、资源类型和 ID，说明哪些信息在记录中缺失。

横线和“无结构化字段差异”不等于没有业务变化。旧值、新值可能只记录局部字段，也可能没有提供；当前差异单元格还会将数值 0、布尔值 false 或空字符串显示为横线。判断这类值时，应查看下面完整 JSON 文本，而不是仅看差异表。

07 复制与导出：保留筛选范围和证据

复制 IP：目标行有 IP 时，将指针移到地址旁，点击出现的复制图标。看到「已复制」后，在允许的排查材料中粘贴核对。浏览器拒绝剪贴板访问时可能没有明显错误提示，没有反馈就不要认定复制成功。本页没有复制整条日志的专用按钮。

导出 CSV：先核对租户、类别、动作、关键词和总条数，再点击右上角「导出」。加载中、正在导出或总条数为零时按钮不可用。下载完成后检查文件和实际记录数；出现「导出失败」时检查当前登录、读取权限和网络，再保留错误交给管理员。

导出沿用当前筛选，按时间从新到旧取最多 5,000 条，不受当前页码限制，也不是无限量全量导出。超过上限时本页没有日期拆分或全量导出工具，翻到下一页再导出仍会得到同一筛选下最新的一批；应与管理员确认受控取证范围，不把文件当作完整历史。

文件包含时间、类别、动作、用户名、邮箱、资源类型、资源 ID、IP、UA、旧值、新值、元数据。动作和类别为原始编码，结构化内容在 CSV 中以 JSON 文本保存；文件字段比列表摘要更完整，但没有日志 ID、租户 ID 的独立列。交接时另行说明环境和租户。

正常导出路径会尝试写入「数据导出」审计，但写入失败不一定阻断下载；本次下载成功不能单独证明新增了审计记录。

08 权限与覆盖边界

读取列表、筛选选项和导出都需要 audit:read。看到入口或按钮不代表请求必然获准；收到无权限错误时，联系管理员核对当前账号和角色，不反复导出或切换他人账号。当前有效租户限定可读取范围，本页不提供跨租户总览。

只记录已经接入并成功写入审计的事件，不保证所有页面操作、失败请求或完整变更前后值都可查到。操作失败、事务回滚、未接入记录或缺少上下文，都可能造成没有预期记录。认证失败尤其不能用“查不到日志”证明没有发生。

旧值和新值中的部分顶层敏感字段会被替换为 ***REDACTED***，但这不是所有嵌套字段和元数据的全面脱敏保证。邮箱、IP、UA 以及业务上下文仍可能敏感，截图和 CSV 只能在授权范围内传递，不要对外公开。

本页不提供保留期限配置，也没有依据可承诺统一保留多少天或永久保存。历史缺失需由管理员核对实际留存制度与记录链路，不能在本页恢复被清理的记录。

09 与业务、同步任务和发布记录交叉核对

一次排查至少对齐「同一环境与租户、同一对象、同一时间与时区」。审计说明记录了什么操作；业务页面用于确认对象当前状态，两者用途不同。

• 账号或角色变更：到用户管理或角色管理核对实际关系与权限。
• 同步是否完成、哪些行失败：回发起同步的业务页面看任务状态与错误，不用一条请求审计代替任务回执。
• 版本部署或系统发布时间：向运维核对实际运行版本与部署记录，不要把账号操作日志当作发布记录。
• 程序异常、请求链路或数据库错误：向管理员提供发生时间、对象与页面错误，由其检查运行日志；本页不是所有服务错误日志的集合。

若审计内容与业务现状不同，先判断是否有后续操作，再看记录是否只包含部分字段；不要据此在审计页寻找“回滚”或“重试”按钮。

10 常见异常：先排除查询范围，再判断覆盖

• 暂无日志：检查环境、租户和权限；恢复全部类别与全部操作，清空搜索并回车回第一页。仍为空，再确认该动作是否实际写入审计。
• 能看到旧行，同时提示加载失败：失败后页面可能保留上次成功的结果。先处理错误并刷新，不把旧行当作新筛选已成功。
• 用 IP、对象 ID 或中文操作名称搜不到：当前关键词范围不覆盖这些内容；用用户名、邮箱或动作编码缩小范围，再在详情核对对象与 IP。
• 用户显示系统或邮箱为空：先查看动作与元数据；可能未绑定操作者，也可能当前账号关联信息不可用，不直接归因于后台自动执行。
• 时间对不上或似乎跨了一天：对齐设备时区与导出时间，再查看相邻记录；本页没有日期范围选择器可用来重新指定边界。
• 详情空、差异表横线或导出不足：分别检查完整旧值/新值、记录是否提供上下文，以及是否达到 5,000 条上限；这三种现象不能统一解释成数据丢失。

11 常见问题