一个工号，三个入口，后台、终端、接口各留了一份。三份权限还不是一回事：后台那份已经跟着岗位改过，工号那份还能做退款，接口那份没人记得是谁申请的。查它是因为票务系统里一笔没人认领的操作——操作人那一栏显示工号 07，而这个人当天在另一个岗位上班，他自己也不知道手里还有第二个号。

多账号是怎么浮出来的

平时看不见，发现它有两种办法。一是按人拉权限：拿工号回票务系统查这个人名下全部账号，凡是三处入口都有号的，逐行看权限对不对得上现在的岗位。二是按动作反查：把近三个月的退款、改价、作废操作按账号归一次类，同一个人名下出现两个号、干的却是同一类活，基本就是历史遗留。这两条都不用开发，跑两次查询就能出清单，怕的是没人去跑。

旧账号没停会怎样

岗位改了，旧账号还在，权限也还在。人不知道自己还有那个号，审批链上却挂着他的名字；接手的人以为只有新账号，出了事两头找。最麻烦的是接口账号，没人登录、没人查看，密钥挂在那里等于常年开的一条便道。规矩要写死：一人只保留一个主账号，多余账号 7 天内停用。停用不是删除，是关掉登录、留着记录，将来要回看还回得来。连续 90 天未登录自动停用，这条要在票务系统的定时任务里跑，不能靠人想起来。

权限表谁复核、周期定多久

复核交给两个岗位：信息科核权限范围，用人部门核人还在不在、岗位对不对。票务系统的管理员不能既建账号又核账号，一个人签两头等于没核。权限表每季度复核一次，一张表三栏——账号、岗位、权限，逐行签，不签整表。定一个季度是有道理的：岗位调整、临时顶班、项目增减，攒到一个季度正好会集中出一次变化；月度太碎，碎到后来变成走过场；半年又太长，长到没人记得哪一行是什么时候动的。

售票系统里"复核过一次"要留下痕迹：谁复核、哪一天、哪些行原样勾了、哪些行改了。只签一个名字没用，下一次照样查不到是谁放行的。判断这张表是不是已经废了，抽三条标了停用的账号，回售票系统的登录日志看后面有没有失败记录跟着——停用只改了状态、账号还能登，那就是根本没停。

复核还有个副产品，能顺手把共号找出来。一个工号在同一天里出现在两台机位、两段不相容的操作上，多半是几个人在共用。共用得区分是窗口当班那种合规共用，还是把号抄在纸条上那种；抄纸条那种要当场收，权限复用一旦成了习惯，票务系统的操作记录就不再指向具体的人了。

例外单列一条：窗口当班机位的共用工号须登记使用人，不得跨岗位使用。窗口 A 一个机位三个人轮班，这是现场实际，不必硬拆成三个号。但要在当班登记上写清谁在哪个时段用过这个号——售票系统的核销和退款记录挂的是工号，只有靠这张登记才能对上当时是谁。跨岗位不行：同一个共号既能卖票又能核销还能退款，这种一查就露馅的权限组合，本身就不该配出来。