人事的移交单转到信息科，附件里只有一句"账号已停用"。一个月后票务系统里查出问题：退款操作还在用这个人的工号走。后台登录确实关了，终端工号没关、接口密钥还挂在配置文件里、数据库那把只读钥匙在他自己带走的笔记本上。一句停用，离收完还差四处。

五处入口逐个关

后台登录、终端工号、接口密钥、数据库、门禁，是五处不是四处。后台登录最受注意，一般当天就办；工号藏在闸机和手持检票机的登录里，人不去现场就看不见；接口密钥没人把它当账号看，因为它是一串配在文件里的字符；数据库权限和系统账号本来就是两回事；门禁最容易漏，办公区的门禁常常归另一套系统管。时间线只有一条：离职当日 18:00 前完成五处关闭，人走出这扇门之前，五处都得签字。核对动作很笨但管用：把五处印在同一张单子上，一处一个签字和一个时间，缺一个签名就不能算收完。

最容易漏的是哪一处，只改密码行不行

最容易漏的是接口密钥，数据库那把钥匙也常被忘掉。只改密码不算回收——密码改了，密钥还是原来那一把，工号还能在终端上登进去，数据库的只读账号没撤，人不在公司照样能拉数。要的是关掉入口本身：登录禁用、工号回收、密钥作废、数据库账号删除、门禁卡收回手里那一张。判断有没有漏，问一句最管用：这个人现在手上还有什么东西能连上票务系统？五个答不全，就是没收完。

密钥没换，等于留了一条不需要密码的通道。接口账号不进后台、不打卡、不会出现在售票系统的任何登录日志里，只有一行行调用记录。人走了，拿到过这把钥匙的一方接着调用，票务系统里只显示这个应用还在正常取数，谁也不会觉得异常。接口密钥在人员变动后 24 小时内更换——这一条要提前备好预案：密钥一旦分发出去过，换一次要连着改调用方，24 小时不是宽限期，是当天必须做完的时限。

回收动作全部留操作日志

要留。留三样：哪天哪一时关了哪一处、经办是谁、依据哪张移交单。不留的后果来得很晚也很实在——半年后有人问"这个号是谁停的，为什么还查得到登录记录"，在场没一个人答得出。回收动作全部留操作日志在票务系统里，售票系统那一份移交单跟着日志走，一张单对一串日志，任何一处都能倒回当时的经手人。

五处之外还有半处常被忽略：测试环境和备份库里的老账号。售票系统的正式后台关了，测试环境同一个工号还能登进去，里面的数据是假的，权限习惯是真的，两边一旦打通就是一条没人看管的路。回收的时候把环境也列进单子，一处环境一行签。

例外单列一条：交接期可保留只读账号，不超过 3 天且须审批。有些岗位的活两周才交得清，期间要回票务系统看单、看报表。给只读，不给任何能改数据的权限；审批里写清给谁、给到哪一天、到期自动收回。3 天一过还在登录，就是违规，跟交接没关系。