要调的账是 11 个月前的，日志只留到今年的 1 月，这件事就查不下去了。当时谁改的、改之前是什么值、审批是谁点的头，三样全在那几行里，一到期就被清理脚本带走。票务系统能把业务数据留上好几年，日志常常只留一年，吃亏的从来不是当初拍板留短的那个人。

两档留存的界线

涉及金额与核销的日志留存不少于三年，普通操作日志一年。分档看的是这条记录将来能不能顶一个纠纷：退款、改价、调账、作废、补核销，这些一旦没有记录，钱和入园两头都说不清，归三年那一档，在票务系统里单独立一张表存；登录、查询、导出、界面配置改动，归一年那一档。两档不要混在一张表里、一个目录里，混了就只能按短的那条清，一次清理把三年的也一并带走。

调账需要什么级别的日志

要三样，一样不缺：谁、动了哪一笔、动之前和动之后的值。只留一句"某工号在某时刻修改了订单"不够，那行日志只证明有人动过，不证明动了什么。字段级的变更记录要留着前后两个值，金额栏、状态栏、核销栏都要留，缺一个值就得靠人回忆。留痕还要挂得上单号：日志里没有订单号或者票号，存三年也是废纸，检索的时候根本串不起来。判断自己的日志够不够级别，拿售票系统里一笔三个月前的调账单去试——能不能只靠日志说出经办、原值、新值三样，说不出就是级别不够。

客人信息这一栏，答案是不该出现。日志里能写订单号、票号、经办工号、机位、动作和时间，不该出现姓名、手机号、证件号，也不该把客人上传的凭证内容整段贴进去。售票系统的日志是给排查用的，一旦被拉出来给别人看过，客人信息就成了第二起事故。真要把范围收到某一个人身上，用订单号反查；票务系统的日志一旦能按手机号直接检索客人，它就不再是排查工具了。

查询权限给到哪一层

给到岗位，不给到人；给只读，不给导出。跨三年的查询走审批并留痕：谁申请、查哪几笔、为什么查、看到过哪些行，一条不落。日常排查留在一年档里，值班的人自己就能看；一过一年这条线，必须走审批。检查这件事做到没有，看票务系统里有没有一张查询权限表，表上每一行有没有到期时间——权限给出去没有期限，三年档就成了谁都能翻的旧账本。

留得久也不等于随手能查。售票系统三年以上的日志要单独归档，单独一个查询入口，不能跟在线那份混着放：混着放要么被清理脚本一起带走，要么谁都能查，两个结果都不能接受。归档那一份的权限线，比在线那份要更窄。

例外单列一条：证件号等敏感字段不落明文日志。这一条不分档位，一年和三年都不行。要在日志里指代某一个人，落一个不可逆的编号，靠这个编号回票务系统再查到具体那一栏，日志文本本身永远看不见完整的证件号。留存期和脱敏是两件事，不能因为要留三年，就把原本该遮的东西原样写进去。