从岗位任务建立权限模型
先列出窗口售票、检票、客服、渠道运营、财务、市场、系统运维和审计岗位的必要动作。权限不以“经理”“员工”这种模糊名称结束，而要细到查看订单、导出名单、退票、改价格、调库存、改账户、开接口和查看日志。
多景区集团还需限定组织、门店、产品、渠道和时间范围。总部财务可看汇总但未必需要游客证件，单景区窗口只处理本点订单。临时活动使用到期自动失效的权限，不把临时授权长期留在个人账号。
高风险操作实施职责分离
价格、库存、退款、分账账户、管理员和接口密钥等变更至少经过申请与审批，执行人与复核人分开。紧急授权可先处理但必须限时、写原因并在事后复核，不能把“紧急账号”做成日常共享后门。
超级管理员数量最少，使用强认证和独立账号，不允许多人共用。供应商远程运维采用按工单开通、限定时间与目标系统的临时访问；会话结束自动回收并留下命令或操作记录。人员离职、转岗当天触发权限复核。
审计日志覆盖关键业务与数据访问
日志记录登录、失败认证、查询敏感信息、批量导出、订单修改、退款、人工核销、价格库存、权限、配置、接口和日志自身操作。每条包含用户、角色、时间、来源 IP 或设备、对象、动作、前后值、结果和关联工单。
只记录“操作成功”不够；查询和导出也可能造成风险。涉及个人信息的批量访问需记录查询条件和结果数量。日志时间统一校时，跨设备事件能按订单或请求编号串联，否则故障与争议发生后无法还原完整链路。
日志本身要防篡改和滥用
业务管理员不能删除或改写审计日志，日志实时或定时发送到独立存储，设置完整性校验、保留策略和备份。查看日志也需授权并产生新日志，避免审计数据包含的账号、订单和个人信息被二次滥用。
网络安全与数据安全规则强调访问控制、认证、备份和记录。具体保留期按适用法律、业务争议和安全要求确定，并在制度中写清；到期按流程销毁，发生调查或争议时依法冻结相关范围，而不是无限期保存全部数据。
从事后查阅升级为实时预警
规则识别短时间大量退款、跨景区查询、异常时段导出、连续失败登录、权限突然放大、同一账号多地使用和关闭安全功能。告警按风险分级，指向订单、账号和设备，交给明确责任人处理并记录结论。
预警不是自动定罪。可能存在节假日加班、财务结账或设备更换等合理原因，需结合工单与现场确认。对真正异常先冻结高风险动作而非直接删除账号，保留证据并按事件预案通知管理层和相关部门。
定期复核权限并演练追溯
每月或每季度导出账号、角色、权限和最近使用，岗位负责人确认仍有必要；长期未用、离职、外包到期和临时权限及时回收。抽查实际订单，验证执行退款的人是否具备审批，导出行为是否有用途与授权。
验收设计一条完整追溯题：给定某笔异常退款，审计人员能否找到申请、审批、执行、前后金额、登录设备和后续对账。再测试普通管理员能否删日志、修改时间或绕开审批；任何成功绕开都应作为硬阻断整改。
采购、上线与持续复核清单
权限矩阵作为验收附件，逐行列角色、动作、数据范围、审批、有效期和日志字段。测试人员分别以普通窗口、财务、运营、供应商运维和审计身份登录，尝试越权查询、退款、导出和删日志，系统应明确拒绝并记录。
接口账号与人员账号分开管理，密钥不写在浏览器脚本、共享文档或群聊。密钥轮换、吊销和来源限制可操作；第三方只访问约定接口和字段。发现凭据暴露时立即吊销并调查访问日志。
安全团队定期用抽样订单检查日志完整性，同时监测日志存储容量、转发中断和时间漂移。审计系统故障本身触发告警，高风险业务可在日志不可用时限制批量导出或关键配置，而不是无记录继续运行。
制度明确告警值班、调查、证据保全、通知和复盘。发生个人信息或网络数据事件时按适用规定启动预案；系统提供记录和工具，是否报告、通知范围与法律判断由有职责的管理人员决定。
权限申请页面显示申请范围、理由、到期和审批链，审批人能看到申请者现有权限，避免重复叠加。批量角色变更先预览受影响账号与数据，执行后自动通知岗位负责人复核。
审计报表区分业务差错、安全风险和正常高频操作，避免把所有日志都当告警。调查人员可按订单、账号、设备或时间关联事件，并导出带摘要的证据包，原始记录保持只读。
个人账号禁止借用，轮班通过交接班功能转移业务而不是共享密码。现场确需快速处理时使用短时授权和明确操作范围；系统显示当前登录人并在退款、人工放行等页面再次确认，减少误用。账号异常锁定后由独立管理员核验身份恢复，不能通过共用备用账号绕过完整安全检查。
常见问题 FAQ
角色权限和数据权限有什么区别？
角色决定能做什么，数据权限决定可对哪些景区、订单、渠道或字段执行。
管理员能删除日志吗？
普通业务或系统管理员不应能删除审计日志，日志应独立保存并做完整性保护。
供应商运维账号要长期保留吗？
不建议，应按工单临时开通、限时限域并在结束后自动回收。
日志是不是保存越久越好？
不是，应按法律、业务和安全需要确定期限，同时防止日志中的个人信息被过度留存。