旺季中午，班组长在工作群里要"今天买票人的手机号"，窗口操作员在售票系统里导了一张表发出去。当天下午，她那台笔记本落在景区食堂的桌上，表里三千多行，一行一个号。人找回来了，文件没找回来。

这件事的问题不在运气，在权限。谁能导哪几列，票务系统里当时没写死，操作员默认班长要的就是该给的。导出开关给到哪一级，平时没人细想，出事之后只有一个问句：这张表本来就不该导得出来。

在售票系统里，窗口能导的只有本班次的流水：订单号、票种、入园时段、支付状态。姓名和手机号这两列在导出页面上是灰的，点不到。一线操作员不允许导出含手机号的列，这是规矩不是提示；要这一列，就得换人来操作。窗口日常用不上它——改期退款按订单号办，不靠号码找人。

票务系统给财务的账号比窗口多开几列：订单号、渠道、成交时间、核销时间、退改标记、支付方式、归属账期。手机号这一栏给的是掩码，中间四位打星。要全号得单独批一次，批的是这一批订单，不是给这个岗位开一条长期通道。

管理层拿到的是汇总层：按票种、按渠道、按营业日，行数是几十行不是几万行。明细列不给，手机号更不给——看的是量，不是人。售票系统里的报表导出权限按这三层分，一层比一层少列，账号属于哪一层，导出的界面就长哪一层的样子。

带手机号的那张表谁来批

两道签：信息科核事由，分管负责人签字，两道都在一张单上。票务系统里这个开关默认按岗位关闭，只能按事由临时开一次。事由要写成一句话，"月底核数"这种不算事由，得写清核哪一段、核出来要放到哪张表上。批的时候同时写明回收时点，写在单上，不靠谁记着。岗位是长期的，事由是一次的，按岗位放号等于一次放完。

文件落到哪、多久收回去：导出的表先进导出人自己在服务器上的账号目录，不落个人电脑桌面，也不直接下载带走。取表的链接到期就断，目录里那一份由账号本人删掉并回签一句已清，信息科对着导出日志逐条勾，勾满这张单才算结。回收时点到了还没回签的，第二天就有人拿着日志去问。

行数也得卡：单次导出不超过 5000 行。超了这个数，售票系统只会回一句"请缩小范围"。这不是嫌麻烦，一个表里装着五千个号，谁也不能保证它不转手。要出更多就按天分次导，或者改走汇总报表，别为了少点两下降上限。

留痕留三样：每一次导出记账号、记时间，也记这张表带了哪几列、多少行。三个月后有人问"我什么时候导过这个"，日志答得上来。反过来，如果一个人翻日志找不到自己上周那次导出，说明那一回是在本地另存的、不是从票务系统里走的，这条要单独处理。

例外一种：核对投诉时按单条订单查，不开批量导出。客诉要的是这一笔，屏幕上按订单号点进去，掩码之外该看的都能看到，用不上一张三千行的表。批量导出和单笔查询是两回事，前者一次带走一片人，后者只回答一个人的问题；能靠单笔查完的事，不批表。