关键在于构建带身份、上下文和不可篡改证据的数字链路：用全局traceid串联全链路，强绑定责任人，分层加密存储日志，支持录像级回放与行为还原，确保“谁触发、谁批准、谁执行”全程可追溯。
要让 Web 应用里的敏感操作真正“做了什么、谁做的、什么时候做的、怎么做的”全都能查得清，关键不是堆日志，而是把操作路径变成一条带身份、带上下文、带不可篡改证据的数字链路。核心在于：操作必须有唯一标识贯穿全程，每个环节必须强绑定责任人，所有记录必须防删改、可关联、能回放。
用全局 TraceID 串联操作全链路
一次敏感操作（如导出用户手机号、删除订单表、修改管理员权限）往往跨多个服务：前端请求 → 网关鉴权 → 权限校验服务 → 业务接口 → 数据库执行。若各环节日志 ID 不统一，就无法拼出完整路径。
- 在请求入口（如 Spring Cloud Gateway）生成唯一 TraceID（推荐 UUID v1，含时间戳和机器标识），注入 MDC 上下文
- 所有中间件、微服务、数据库访问层自动继承并写入日志字段，不依赖人工传参
- 数据库 SQL 日志、操作日志、审计日志都带上该 TraceID，确保“一条请求，一份证据链”
敏感操作必须带业务语义与责任人强绑定
只记“调用了 deleteUser 接口”没用，要明确“张三（工号A1023）在 2026-06-19 10:22:45，通过运营后台第3版导出页，导出了客户标签为‘高净值’的 2873 条手机号，导出文件名 export_20260619_102245.xlsx”。
- 使用类似 ballcat 的 @OperationLog 注解，在方法上声明
bizType="user"、bizNo="#userId"、operator="#currentUser.name" - 通过 SpEL 表达式动态提取业务主键、操作人真实身份（非 token 中的 username，而是从认证中心查出的实名+部门）
- 禁止使用默认“admin”“system”等泛化操作人，缺失 operator 字段的日志应直接告警拦截
日志存储必须分层、加密、防篡改
审计日志不是普通业务日志，不能和应用日志混存，更不能只存在本地磁盘或单点数据库。
- 热数据（7天内）：存入 Elasticsearch，支持按 TraceID、用户、时间、业务类型秒级检索
- 温数据（30天）：归档至 ClickHouse，支撑 SQL 级别分析，比如“统计近一周导出手机号超1000条的人员TOP5”
- 冷存证（1年以上）：哈希摘要上链（如 Hyperledger Fabric），或写入只追加的 WORM 存储，满足《数据安全法》第30条“日志留存不少于6个月”，关键操作建议保留3年
- 每条原始日志落库前计算 SHA-256，并将哈希值同步写入独立存证模块，确保事后可验证是否被篡改
支持录像级回放与行为还原
对高危操作（如数据库变更、权限批量调整、密钥重置），仅文字日志不够，需还原操作现场。
- Web 后台类操作：集成轻量级录屏 SDK（如 rrweb），录制 DOM 变化+鼠标轨迹+键盘输入，与 TraceID 关联存储
- 终端侧浏览器外发：用 Ping32 类工具捕获上传动作、目标网址、文件名、文件指纹，形成“访问→选择→上传→命中规则”四段证据链
- 运维通道（SSH/RDP）：通过 webterminal 录制会话，支持命令逐行回放、输出结果滚动比对、鼠标点击定位
不复杂但容易忽略：可追溯性不是日志越多越好，而是每个环节都回答清楚「谁触发、谁批准、谁执行」——触发要有申请单号（连 OA 系统），批准要有审批签名（带时间戳和生物特征），执行要有操作快照（含前后数据对比）。闭环了，才算真可追溯。
