迭代计划准备

2026-07-16 15:08:07 +08:00
parent c4f430ccb3
commit bcf3e31db6
11 changed files with 12223 additions and 0 deletions
--- a/docs/7月迭代/新增需求/04-全局多视角审计方案.md
+++ b/docs/7月迭代/新增需求/04-全局多视角审计方案.md
@@ -0,0 +1,809 @@
+# 新增需求 04：全局多视角审计方案
+
+> 状态：已合并至标准评审稿，本文保留为实施明细。
+> 评审主文档：`../7月迭代技术方案-标准评审稿.md`
+> 范围：全系统业务写操作、安全操作、外部集成和审计查询前端。
+
+## 一、目标
+
+审计系统必须能够从不同视角回答：
+
+```text
+谁做了什么？
+某个资源经历了什么？
+一次请求引发了哪些跨模块变化？
+哪些操作失败、被拒绝或存在风险？
+外部 Gateway、运营商和企业微信交互发生了什么？
+资金变化对应哪个业务动作和审批结果？
+```
+
+不是把所有日志塞进一张表，而是建立统一审计事件，并通过 Query 组合访问日志、领域流水和外部集成记录。
+
+## 二、当前代码问题
+
+现有实现已经有账号审计和资产审计，但没有形成全系统能力：
+
+- `tb_account_operation_log` 和 `tb_asset_operation_log` 字段、操作类型和查询入口不一致。
+- 账号、资产审计通过 goroutine Best Effort 写入，进程退出或数据库短暂失败时会丢失。
+- 部分调用方又在审计服务外增加一层 goroutine，形成双重异步。
+- 退款审批等资金操作没有统一业务审计。
+- 线下充值借用账号操作日志，资源类型和关联关系不准确。
+- 访问日志只脱敏请求体，响应体仍按原文记录，可能泄露 Token、个人信息和敏感配置。
+- 现有审计表只能从单个账号或单个资产查看，无法按请求、关联业务、异常等级和外部交互串联。
+
+## 三、四类记录边界
+
+| 类型 | 权威性 | 存储 | 用途 |
+|---|---|---|---|
+| Access Log | 非业务权威 | 文件/日志平台 | HTTP 调试、性能和请求追踪 |
+| Audit Event | 业务审计权威 | PostgreSQL | 谁对什么做了什么、结果如何 |
+| Domain Ledger | 领域事实权威 | 现有业务表 | 钱包流水、退款单、审批实例、订单状态 |
+| Integration Log | 外部交互权威 | PostgreSQL | Gateway、运营商回调、企微 API、回调和同步尝试 |
+
+规则：
+
+- Audit Event 不替代钱包流水、退款记录和企微审批详情。
+- Access Log 不作为业务审计依据。
+- 数据同步的轮询、事件阶梯尝试、手动刷新和运营商回调统一进入 `tb_integration_log`，不再新建 `tb_card_sync_execution`。
+- 高频轮询只有在状态变化、人工强制触发、连续失败或高风险异常时生成 Audit Event。
+- Audit Query 可以把四类记录组合成时间线，但必须标明数据来源。
+
+## 四、审计事件模型
+
+### 4.1 主表
+
+```sql
+CREATE TABLE tb_audit_event (
+    id                    BIGSERIAL PRIMARY KEY,
+    event_id              VARCHAR(64) NOT NULL UNIQUE,
+    occurred_at           TIMESTAMPTZ NOT NULL,
+    category              VARCHAR(32) NOT NULL,
+    action                VARCHAR(128) NOT NULL,
+    action_name           VARCHAR(255) NOT NULL,
+
+    actor_kind            VARCHAR(32) NOT NULL,
+    actor_id              BIGINT,
+    actor_name            VARCHAR(255) NOT NULL DEFAULT '',
+    actor_user_type       INT,
+
+    source                VARCHAR(64) NOT NULL,
+    tenant_type           VARCHAR(32),
+    tenant_id             BIGINT,
+    shop_id               BIGINT,
+    enterprise_id         BIGINT,
+
+    result                VARCHAR(16) NOT NULL,
+    risk_level            VARCHAR(16) NOT NULL DEFAULT 'normal',
+    summary               TEXT NOT NULL,
+    error_code            VARCHAR(64),
+    error_message         TEXT,
+
+    before_data           JSONB,
+    after_data            JSONB,
+    metadata              JSONB,
+
+    request_id            VARCHAR(64),
+    correlation_id        VARCHAR(64),
+    parent_event_id       VARCHAR(64),
+
+    ip_address            VARCHAR(64),
+    user_agent            TEXT,
+    request_path          VARCHAR(255),
+    request_method        VARCHAR(16),
+
+    content_hash          VARCHAR(64) NOT NULL,
+    created_at            TIMESTAMPTZ NOT NULL DEFAULT NOW()
+);
+
+CREATE INDEX idx_audit_event_time
+    ON tb_audit_event (occurred_at DESC, id DESC);
+CREATE INDEX idx_audit_event_actor
+    ON tb_audit_event (actor_kind, actor_id, occurred_at DESC);
+CREATE INDEX idx_audit_event_action
+    ON tb_audit_event (category, action, occurred_at DESC);
+CREATE INDEX idx_audit_event_result
+    ON tb_audit_event (risk_level, result, occurred_at DESC);
+CREATE INDEX idx_audit_event_request
+    ON tb_audit_event (request_id, occurred_at ASC);
+CREATE INDEX idx_audit_event_correlation
+    ON tb_audit_event (correlation_id, occurred_at ASC);
+```
+
+### 4.2 资源关系表
+
+一次退款审批通过会同时影响退款单、订单、钱包、钱包流水、套餐和资产，只在主表保存一个 `resource_id` 无法完整查询。
+
+```sql
+CREATE TABLE tb_audit_event_resource (
+    id                 BIGSERIAL PRIMARY KEY,
+    audit_event_id     BIGINT NOT NULL,
+    resource_type      VARCHAR(64) NOT NULL,
+    resource_id        BIGINT,
+    resource_key       VARCHAR(128) NOT NULL DEFAULT '',
+    relation           VARCHAR(20) NOT NULL DEFAULT 'affected',
+    created_at         TIMESTAMPTZ NOT NULL DEFAULT NOW()
+);
+
+CREATE UNIQUE INDEX uq_audit_event_resource
+    ON tb_audit_event_resource (
+        audit_event_id,
+        resource_type,
+        COALESCE(resource_id, 0),
+        resource_key,
+        relation
+    );
+
+CREATE INDEX idx_audit_resource_timeline
+    ON tb_audit_event_resource (resource_type, resource_id, audit_event_id DESC);
+CREATE INDEX idx_audit_resource_key
+    ON tb_audit_event_resource (resource_type, resource_key, audit_event_id DESC);
+```
+
+不建立数据库外键。`relation`：
+
+| relation | 含义 |
+|---|---|
+| `primary` | 本次操作的主要对象 |
+| `affected` | 被本次操作修改的对象 |
+| `reference` | 只用于解释上下文的关联对象 |
+
+### 4.3 操作者
+
+`actor_kind`：
+
+```text
+admin_user
+agent_user
+enterprise_user
+personal_customer
+open_api_account
+system_task
+carrier_callback
+wecom_callback
+```
+
+系统和外部回调允许 `actor_id=NULL`，但必须保存清晰的 `actor_name`，例如“移动实名回调”“企微审批状态同步”“套餐到期任务”。
+
+### 4.4 来源
+
+`source` 表示入口，不表示操作者：
+
+```text
+admin_api
+personal_api
+open_api
+asynq
+scheduled_job
+gateway
+carrier_callback.cmcc
+carrier_callback.cucc
+carrier_callback.ctcc
+wecom_callback
+wecom_polling
+data_migration
+```
+
+### 4.5 结果与风险
+
+`result`：`success / failed / denied / partial`。
+
+`risk_level`：`normal / warning / high / critical`。
+
+默认风险示例：
+
+| 操作 | 风险等级 |
+|---|---|
+| 普通字段修改成功 | normal |
+| 批量部分失败 | warning |
+| 权限拒绝、重复回调冲突 | warning |
+| 钱包余额、退款、角色权限、支付配置修改 | high |
+| 企微通过后撤销但资金已执行、审计写入失败 | critical |
+
+## 五、领域模型和代码结构
+
+```text
+internal/
+├── domain/audit/
+│   ├── event.go                不可变 AuditEvent 实体及不变量
+│   ├── actor.go                操作者值对象
+│   ├── resource.go             多资源关联
+│   ├── sanitizer.go            审计数据脱敏规则
+│   ├── action_registry.go      操作编码、名称、分类和默认风险
+│   └── repository.go
+├── application/audit/
+│   ├── append_event.go         成功/失败审计写入
+│   ├── append_with_tx.go       关键业务事务内写入
+│   └── append_system_event.go
+├── query/audit/
+│   ├── event_list.go
+│   ├── actor_view.go
+│   ├── resource_view.go
+│   ├── request_view.go
+│   ├── correlation_view.go
+│   ├── risk_view.go
+│   ├── integration_view.go
+│   └── finance_view.go
+└── infrastructure/persistence/
+    └── audit_repository.go
+```
+
+Audit Event 具有独立 `event_id`，因此是不可变领域实体，不是值对象；Actor、Resource 和字段差异是值对象。事件创建后不提供 Update/Delete Repository 方法。
+
+## 六、操作注册表
+
+操作编码禁止在各 Service 中自由拼字符串：
+
+```go
+type ActionDefinition struct {
+    Code             string
+    Name             string
+    Category         string
+    DefaultRiskLevel string
+    SensitiveFields  []string
+}
+
+var ActionRegistry = map[string]ActionDefinition{
+    "account.role.assign": {
+        Name: "分配账号角色", Category: "security", DefaultRiskLevel: "high",
+    },
+    "refund.wecom.approved": {
+        Name: "企微审批通过并确认人工退款", Category: "finance", DefaultRiskLevel: "high",
+    },
+    "recharge.wecom.approved": {
+        Name: "企微审批通过并完成线下充值", Category: "finance", DefaultRiskLevel: "high",
+    },
+    "iot_card.realname.callback": {
+        Name: "运营商回调更新实名状态", Category: "asset", DefaultRiskLevel: "normal",
+    },
+}
+```
+
+DTO `description`、前端中文名称和筛选项都从同一注册表生成，避免操作编码与展示名称不一致。
+
+## 七、写入可靠性
+
+### 7.1 关键成功事件
+
+以下事件必须与业务变更同事务写入：
+
+- 钱包余额变化。
+- 人工退款结果确认和代理钱包回溯。
+- 线下充值入账。
+- 账号角色和权限变化。
+- 支付、企微和系统关键配置变化。
+- 卡实名、网络状态被人工修改。
+- 手工绑定企微 `sp_no`。
+
+Application 在事务内调用：
+
+```go
+auditWriter.AppendWithTx(ctx, tx, event)
+```
+
+审计写入失败时事务回滚，禁止业务成功但关键审计缺失。
+
+### 7.2 异步系统事件
+
+轮询、事件阶梯同步、运营商回调和企微轮询等外部交互统一进入 Integration Log。只有以下情况同时写 Audit Event：
+
+- 状态发生业务变化。
+- 连续失败达到阈值。
+- 人工强制触发。
+- 出现高风险异常。
+
+系统事件通过同一业务事务或 Outbox 可靠写入，不启动裸 goroutine。
+
+### 7.3 失败和拒绝事件
+
+业务事务已经回滚时，使用独立短事务写 `failed/denied` 审计。审计写入失败不能把原业务错误改成成功，但必须记录 `critical` 应用日志和监控指标。
+
+## 八、关联链路
+
+### 8.1 request_id
+
+表示一次 HTTP 请求，由现有 Request ID 中间件产生。一次请求触发的所有审计事件使用同一个 `request_id`。
+
+### 8.2 correlation_id
+
+表示跨请求、跨任务的完整业务链路：
+
+```text
+退款申请创建
+→ 企微审批提交
+→ 企微回调
+→ 人工退款结果入账
+→ 代理钱包退款流水（仅代理钱包支付订单）
+→ 佣金回扣
+→ 套餐失效和停机
+```
+
+以上事件共享退款申请创建时生成的 `correlation_id`。Asynq、Outbox、企微实例和同步任务载荷都必须传递该值。
+
+### 8.3 parent_event_id
+
+表示直接因果关系。例如“套餐失效”事件的父事件是“退款终态处理成功”，用于前端画出树状链路。
+
+## 九、数据脱敏
+
+### 9.1 永不进入审计的数据
+
+```text
+password
+operation_password
+access_token / refresh_token
+agent_secret / app_secret
+callback_token / encoding_aes_key
+支付私钥、公钥原文
+短信验证码
+完整身份证号
+对象存储签名 URL
+企微 media_id
+```
+
+这些字段直接删除，不保存为 `******`，避免字段存在本身造成误用。
+
+### 9.2 按权限展示的数据
+
+手机、IP、ICCID、钱包余额和第三方交易号可以存储受控快照，但 Query 根据权限返回：
+
+- 普通审计权限：脱敏展示。
+- 敏感审计权限：展示完整值。
+- 导出权限单独控制，不能因为可查看页面就默认可导出完整值。
+
+### 9.3 大字段
+
+`before_data`、`after_data` 和 `metadata` 分别限制 16KB。超过后保存：
+
+```json
+{
+  "_truncated": true,
+  "_original_bytes": 38210,
+  "_summary": "批量修改500条资产",
+  "_artifact_ref": "batch_task:123"
+}
+```
+
+批量明细保存在对应任务结果表或对象存储，不塞入审计 JSON。
+
+## 十、外部集成日志
+
+企业微信、运营商回调、Gateway 请求和事件同步尝试使用通用 Integration Log。同步尝试即使在真正发送 HTTP 前因合并、限流或预期状态已满足而结束，也写一条结果记录，保证能够解释“为什么没有请求上游”。
+
+```sql
+CREATE TABLE tb_integration_log (
+    id                 BIGSERIAL PRIMARY KEY,
+    integration_id     VARCHAR(64) NOT NULL UNIQUE,
+    provider           VARCHAR(32) NOT NULL,
+    direction          VARCHAR(16) NOT NULL,
+    operation          VARCHAR(64) NOT NULL,
+    external_id        VARCHAR(128),
+
+    resource_type      VARCHAR(64),
+    resource_id        BIGINT,
+    resource_key       VARCHAR(128),
+
+    trigger_source     VARCHAR(32),
+    trigger_scene      VARCHAR(128),
+    trigger_series     VARCHAR(64),
+    scheduled_at       TIMESTAMPTZ,
+    started_at         TIMESTAMPTZ,
+    attempt            INT NOT NULL DEFAULT 1,
+
+    result             VARCHAR(20) NOT NULL,
+    http_status        INT,
+    provider_code      VARCHAR(64),
+    provider_message   TEXT,
+    request_summary    JSONB,
+    response_summary   JSONB,
+    duration_ms        BIGINT NOT NULL DEFAULT 0,
+    state_changed      BOOLEAN NOT NULL DEFAULT FALSE,
+    metadata           JSONB,
+
+    request_id         VARCHAR(64),
+    correlation_id     VARCHAR(64),
+    audit_event_id     BIGINT,
+    created_at         TIMESTAMPTZ NOT NULL DEFAULT NOW()
+);
+
+CREATE INDEX idx_integration_log_time
+    ON tb_integration_log (created_at DESC, id DESC);
+CREATE INDEX idx_integration_log_provider
+    ON tb_integration_log (provider, operation, result, created_at DESC);
+CREATE INDEX idx_integration_log_resource
+    ON tb_integration_log (resource_type, resource_id, created_at DESC);
+CREATE INDEX idx_integration_log_resource_key
+    ON tb_integration_log (resource_type, resource_key, created_at DESC);
+CREATE INDEX idx_integration_log_trigger
+    ON tb_integration_log (trigger_series, attempt);
+CREATE INDEX idx_integration_log_correlation
+    ON tb_integration_log (correlation_id, created_at ASC);
+```
+
+`direction`：`inbound / outbound`。
+
+`result` 至少支持：
+
+```text
+success
+failed
+not_found
+invalid_payload
+ignored
+merged
+rate_limited
+completed
+cancelled
+```
+
+数据同步字段约定：
+
+- `provider=gateway`：实名、流量、卡状态和设备信息查询。
+- `provider=cmcc/cucc/ctcc` 且 `direction=inbound`：运营商实名或解除实名回调。
+- `trigger_source`：`polling/business_event/open_api/manual_refresh/carrier_callback`。
+- `trigger_scene`：触发埋点场景，例如 `client_asset_info`、`card_resume`、`device_switch_card`。
+- `trigger_series + attempt`：关联一次 `0/3/5` 阶梯同步。
+- `result=merged/rate_limited/completed` 时允许没有 HTTP 状态和响应摘要，因为没有真正请求上游。
+- `state_changed=true` 时通过 `audit_event_id` 关联对应业务状态变化事件。
+
+普通高频轮询成功也写 Integration Log，但不生成 Audit Event。查询和清理必须使用时间索引及分批删除，不能在业务请求中同步聚合全量历史。
+
+外部交互正文只保存脱敏摘要。企微加密报文、运营商原始回调和 Gateway 加密请求不进入普通审计详情。
+
+## 十一、审计范围
+
+### 11.1 必须审计的写操作
+
+| 模块 | 操作 |
+|---|---|
+| 账号权限 | 创建、禁用、删除、角色分配、密码重置 |
+| 资产 | 分配、回收、绑定、解绑、停复机、实名策略、手工实名、限速 |
+| 套餐 | 创建、修改、上下架、分配、价格、已用量和到期时间调整 |
+| 钱包资金 | 充值、扣款、退款、信用变化、人工调整 |
+| 订单退款 | 创建退款、企微终态、人工退款确认、代理钱包回溯、资产后处理 |
+| 线下充值 | 创建、企微终态、入账、通过后撤销异常 |
+| 系统配置 | 支付配置、企微配置状态、模板版本发布、导出字段权限 |
+| 数据同步 | 人工强制同步、回调更新业务状态、连续失败告警 |
+| 导入导出 | 创建任务、下载敏感导出、批量任务结果 |
+| 登录安全 | 登录成功/失败、Token 撤销、开放接口签名失败和重放拒绝 |
+
+### 11.2 不进入业务审计的普通读操作
+
+- 普通列表、详情和未读数查询只进入 Access Log。
+- 下载敏感附件、导出、查看完整密钥状态、查看完整个人信息属于敏感读取，需要 Audit Event。
+
+## 十二、多视角 API
+
+### 12.1 全局事件视角
+
+```http
+GET /api/admin/audit/events
+    ?category=finance
+    &action=
+    &result=success
+    &risk_level=high
+    &source=wecom_callback
+    &start_at=
+    &end_at=
+    &keyword=
+    &page=1&page_size=50
+```
+
+`keyword` 只匹配事件摘要、资源编号、操作者名称和 request_id，不对 JSONB 做无索引模糊扫描。
+
+### 12.2 事件详情
+
+```http
+GET /api/admin/audit/events/{event_id}
+```
+
+返回：
+
+- 操作者快照。
+- 入口、租户和请求信息。
+- 主要资源、影响资源和引用资源。
+- 前后数据差异。
+- 错误信息和风险等级。
+- request/correlation/parent 关联。
+- 可访问的领域流水和 Integration Log 链接。
+
+### 12.3 操作者视角
+
+```http
+GET /api/admin/audit/actors
+    ?actor_kind=admin_user
+    &keyword=
+    &range=30d
+    &page=1&page_size=20
+
+GET /api/admin/audit/actors/{actor_kind}/{actor_id}/summary?range=30d
+GET /api/admin/audit/actors/{actor_kind}/{actor_id}/events?page=1&page_size=50
+```
+
+人员列表返回操作者 ID、名称、类型、最近操作时间、操作量、失败量和最高风险等级；`keyword` 只做 ID、账号和名称的前缀匹配，不扫描审计 JSON。Summary 返回操作量、失败量、拒绝量、高风险量、常用操作、常操作资源和最近登录 IP。
+
+### 12.4 资源视角
+
+```http
+GET /api/admin/audit/resources/search
+    ?resource_type=
+    &keyword=RF202607150001
+    &page=1&page_size=20
+
+GET /api/admin/audit/resources/{resource_type}/{resource_id}/timeline
+    ?include_related=true
+    &page=1&page_size=50
+```
+
+示例资源：`iot_card / device / refund / order / agent_wallet / wecom_approval / account / system_config`。
+
+资源搜索属于 Query 模块，允许直接查询退款、订单、充值、账号和资产等读模型，不要求加载领域聚合。返回候选项的 `resource_type/resource_id/resource_key/display_name`，解决同一关键词命中多个资源的问题。静态 `resources/search` 路由必须先于动态资源路由注册。
+
+`include_related=true` 时通过资源关系表返回影响该资源的跨模块事件，但不无限递归加载关联资源。
+
+### 12.5 请求视角
+
+```http
+GET /api/admin/audit/requests/{request_id}/timeline
+```
+
+按时间展示一次 HTTP 请求产生的 Access Log 摘要、Audit Event、Outbox 和 Integration Log。
+
+### 12.6 业务链路视角
+
+```http
+GET /api/admin/audit/correlations/{correlation_id}/timeline
+```
+
+用于查看退款、企微审批、钱包和资产处理等跨请求链路。返回节点包含 `parent_event_id`，前端可展示因果树。
+
+### 12.7 风险视角
+
+```http
+GET /api/admin/audit/risks/overview?range=24h
+GET /api/admin/audit/risks/events?risk_level=critical&page=1&page_size=50
+```
+
+Overview：
+
+- 高风险和严重事件数量。
+- 权限拒绝、开放接口重放、资金冲突和外部回调异常趋势。
+- 按操作人、来源和资源类型聚合。
+
+### 12.8 外部集成视角
+
+```http
+GET /api/admin/audit/integrations
+    ?provider=wecom
+    &direction=inbound
+    &operation=getapprovaldetail
+    &result=failed
+    &external_id=
+    &resource_type=
+    &resource_key=
+    &trigger_source=
+    &trigger_scene=
+    &trigger_series=
+    &page=1&page_size=50
+
+GET /api/admin/audit/integrations/{integration_log_id}
+```
+
+列表查询 `tb_integration_log`，并返回关联审计事件和业务链路 ID；详情返回脱敏后的请求摘要、响应摘要、耗时、错误、尝试次数、计划时间、触发场景和关联资源，不返回密钥、完整回调正文或附件内容。
+
+当 `trigger_series` 有值时，详情同时返回该序列的全部尝试，前端按“立即、3 分钟、5 分钟”展示，不要求用户逐条搜索。同步记录不再通过独立 `/card-sync/executions` 接口查询。
+
+### 12.9 资金视角
+
+```http
+GET /api/admin/audit/finance/timeline
+    ?business_no=
+    &wallet_id=
+    &transaction_no=
+    &page=1&page_size=50
+```
+
+Finance Query 组合：
+
+- Audit Event。
+- 代理钱包和资产钱包流水。
+- 退款单、充值单和订单。
+- 企微审批实例。
+
+每条记录明确 `record_source`，钱包流水仍是金额变化的权威数据。
+
+### 12.10 导出
+
+```http
+POST /api/admin/audit/exports
+```
+
+复用现有导出任务系统。导出字段按角色配置，默认不允许导出完整 IP、手机号、ICCID、前后 JSON 和外部响应摘要。
+
+## 十三、权限
+
+建议权限码：
+
+```text
+audit:global:view
+audit:actor:view
+audit:resource:view
+audit:request:view
+audit:risk:view
+audit:integration:view
+audit:finance:view
+audit:sensitive:view
+audit:export
+```
+
+第一版审计中心只开放给超级管理员和具有对应权限的平台角色。
+
+代理、企业账号不进入全局审计中心；它们在资产、订单、充值等业务详情页只能查看自己有权限资源的资源时间线，且返回字段经过脱敏。
+
+Service/Query 必须重新应用资源权限，前端隐藏 Tab 不能替代后端授权。
+
+## 十四、前端多视角界面
+
+### 14.1 审计中心
+
+路由：`/operations/audit`
+
+使用工作台式紧凑布局，不做营销式卡片页面。顶部为时间范围、关键词和常用过滤器，下方使用 Tab：
+
+1. **全局事件**：按时间倒序的审计事件表。
+2. **人员行为**：操作者列表、风险统计和行为时间线。
+3. **资源轨迹**：输入资源类型和标识，展示资源生命周期。
+4. **请求链路**：按 request_id/correlation_id 展示跨模块时间线。
+5. **资金审计**：订单、审批、钱包流水和退款/充值组合视图。
+6. **风险事件**：失败、拒绝、高风险和严重事件。
+7. **外部集成**：Gateway、企微、运营商回调和事件同步阶梯尝试。
+
+Tab 根据权限返回，前端不展示无权限入口。
+
+外部集成 Tab 增加紧凑的来源切换：`全部 / Gateway 同步 / 运营商回调 / 企业微信`。选择 Gateway 同步后展示触发来源、触发场景、资源、序列、尝试、结果、耗时和状态是否变化；点击序列打开三次尝试时间线。
+
+### 14.2 全局事件表
+
+字段：
+
+```text
+时间 | 风险 | 操作者 | 操作 | 主要资源 | 来源 | 结果 | request_id
+```
+
+- 支持服务端分页和列筛选。
+- 点击行打开右侧详情抽屉。
+- 风险仅用图标和有限颜色表达，普通成功事件保持中性色。
+- `request_id`、资源编号可点击进入对应视角。
+
+### 14.3 事件详情抽屉
+
+分区：
+
+```text
+事件摘要
+操作者与入口
+关联资源
+字段变更对比
+请求与业务链路
+错误和外部交互
+```
+
+字段变更使用结构化键值对比，不直接把整段 JSON 原样堆在页面。未知字段可以折叠显示原始 JSON。
+
+敏感字段默认脱敏；有 `audit:sensitive:view` 权限时提供“显示敏感数据”按钮，并对该次查看再写一条敏感读取审计。
+
+### 14.4 人员行为视角
+
+左侧为操作者搜索和筛选，右侧显示：
+
+- 30 天操作量、失败率、高风险操作数。
+- 常用来源 IP。
+- 操作类型分布。
+- 最近行为时间线。
+- 涉及资源列表。
+
+不做基于行为的自动封禁，只提供审计判断依据。
+左侧人员列表调用 `/api/admin/audit/actors`，选择人员后再并行加载 Summary 和事件列表，避免前端从全局事件自行聚合。
+
+### 14.5 资源轨迹视角
+
+支持输入 ICCID、设备虚拟号、退款单号、订单号、充值单号、账号名称等，先调用 `/api/admin/audit/resources/search` 返回候选资源；只有一个候选时直接打开时间线，多个候选时由用户选择，前端不自行猜测资源类型。
+
+时间线同时展示：
+
+- 业务状态变化。
+- 人工操作。
+- 企微审批结果。
+- 资金流水链接。
+- 重要 Gateway/回调事件。
+
+普通高频轮询成功不进入资源审计时间线，避免有效信息被淹没。
+
+### 14.6 请求和业务链路视角
+
+使用纵向时间线展示节点，节点固定包含时间、来源、动作、结果和耗时。父子事件使用缩进和连接线表达，不使用复杂自由拖拽图编辑器。
+
+### 14.7 风险视角
+
+顶部显示 24 小时趋势和风险分类，下方是风险事件表。支持一键跳转操作者、资源和 correlation 链路，但第一版不建设风险处置工单。
+
+## 十五、Access Log 修正
+
+当前访问日志的响应体需要使用与请求体相同的递归脱敏逻辑：
+
+```go
+responseBody := sanitizeBody(c.Response().Body())
+```
+
+并增加路由级策略：
+
+| 路由 | Body 记录策略 |
+|---|---|
+| 登录、Token、支付配置 | 只记录字段名和长度，不记录值 |
+| 企微/支付/运营商回调 | 记录摘要和哈希，不记录完整正文 |
+| 文件上传下载 | 不记录文件内容和签名 URL |
+| 普通 JSON API | 脱敏后最多 50KB |
+
+Access Log 建议保留 30 天；不得因为 Access Log 已存在而省略关键业务 Audit Event。
+
+## 十六、保留策略
+
+| 数据 | 保留期限 |
+|---|---:|
+| 资金、权限、审批和关键配置 Audit Event | 5 年 |
+| 普通资产和业务操作 Audit Event | 2 年 |
+| Integration Log | 180 天 |
+| Gateway 高频同步 Integration Log | 正常 30 天，异常或状态变化 180 天 |
+| Access Log | 30 天 |
+
+Audit Event 默认不在线删除。数据量达到单表维护阈值后按月分区，超期分区归档到低成本存储，再由专用维护流程删除；应用账号不具备 Update/Delete 审计表权限。
+
+## 十七、一次性审计切换
+
+本需求与普通 DDD 触碰式迁移不同：审计基础设施、写入入口、Query API 和前端多视角界面在同一次停机发布中全局切换，不能让新旧审计长期并行。
+
+### 17.1 新写入
+
+- 数据同步、企微审批、站内通知和后续新功能只写统一 `tb_audit_event` 与 `tb_integration_log`。
+- 账号、角色、权限、资产、套餐、订单、退款、充值、钱包、系统配置、导入导出和登录安全等现有敏感操作同时切换到统一 Audit Writer。
+- 卡同步不创建 `tb_card_sync_execution`；轮询、手动刷新、事件阶梯尝试和运营商回调统一写 Integration Log。
+- 发布后旧 `tb_account_operation_log`、`tb_asset_operation_log`、手动轮询触发日志等表不再产生新记录。
+- 禁止双写新旧审计表，避免同一操作产生两条不一致记录。
+
+一次性切换审计不等于一次性把所有旧业务模块迁移为 DDD。未迁移的旧 Service 通过统一审计 Adapter 写入新模型；退款、资金、卡状态等复杂且本次触碰的用例按 DDD 规范迁入 Application/Domain。
+
+### 17.2 历史数据
+
+- 旧审计表保留只读，不在线回填到新表。
+- 审计 Query 使用 `UNION ALL` 把旧账号、资产和手动触发日志标准化为历史投影，返回 `record_source=legacy_account/legacy_asset/legacy_polling`。
+- 历史记录只用于查询，不允许更新或补写。
+- 后续达到归档条件后离线迁移或归档旧表，不影响本次新写入一次性切换。
+
+## 十八、代码迁移重点
+
+- 删除 `account_audit.Service.LogOperation` 和 `asset_audit.Service.LogOperation` 内部裸 goroutine。
+- 删除调用方外围 `go auditService.LogOperation(...)`。
+- 为尚未迁入 DDD 的旧 Service 提供统一 Audit Writer Adapter，并在本次发布中替换全部敏感操作旧写入口。
+- 退款、线下充值资金事务使用 `AppendWithTx`。
+- 卡实名领域用例在状态变化事务内写审计。
+- 轮询、事件同步、手动刷新和运营商回调统一写 Integration Log；只有状态变化、连续失败、手动操作和高风险异常追加 Audit Event。
+- 企微模板发布、手工绑定 sp_no、通过后撤销写高风险事件。
+- `pkg/logger/middleware.go` 对响应体和特殊路由实施脱敏策略。
+- 现有账号、资产和业务日志详情接口统一改为调用 `query/audit` 的资源时间线或历史投影。
+
+## 十九、人工验证
+
+1. 关键资金事务在审计写入失败时整体回滚。
+2. 同一事件不会因 Outbox/Asynq 重试生成重复审计。
+3. 一次退款能够从退款单、订单、钱包和资产四个资源视角查到同一事件。
+4. request_id 能串联一次 API 请求产生的多条审计记录。
+5. correlation_id 能串联退款申请、企微审批、退款、佣金和资产处理。
+6. 普通用户不能访问全局、人员、风险和集成视角。
+7. 敏感字段默认脱敏，查看完整敏感字段的动作本身再次被审计。
+8. Access Log 请求和响应均不泄露 Token、Secret、操作密码和签名 URL。
+9. 高频轮询成功只进入外部集成视角，不会淹没业务资源时间线，状态变化和连续失败仍可见。
+10. 企微通过后撤销且资金已执行时生成 critical 事件，不自动冲正。
+11. 历史账号/资产日志可以通过统一审计页面查询，发布后的新写入不再双写旧表。
+12. 审计导出字段受角色权限控制，页面可见不等于可导出完整敏感值。
+13. 人员、资源和集成视角都有独立查询接口，前端不通过下载全局事件后自行聚合。
+14. 同一次事件同步的立即、3 分钟、5 分钟尝试能通过 `trigger_series` 连续展示，合并、限流和提前完成都有可解释结果。
+15. 发布后旧账号、资产和轮询日志表不再新增记录，新旧历史仍能在同一审计界面查询。