第199章 权限门牌（1/2）

请关闭浏览器的阅读/畅读/小说模式并且关闭广告屏蔽过滤功能，避免出现内容无法显示或者段落错乱。

清晨七点四十六分，医院大厅的低温灯依旧亮着。服务台外侧的队伍仍旧慢，慢得像一条被拉直的线。人群的问法越来越短——短到像路标本身：<\/p>

“互认不互填对吧？”<\/p>

“核验不查号对吧？”<\/p>

“今天也不查号对吧？”<\/p>

入口牌依旧两行字，短得像公共标识：<\/p>

**无后门，不插队**<\/p>

**提示单不含任何联系方式**<\/p>

墙上的识别点依旧很大：<\/p>

**能填就是伪。**<\/p>

周工把“灰度管理规范（试行）”那份补充文件的封存编号写进当日摘要，放入公证箱，盖子“啪”地合上。他抬眼看了一眼开关状态摘要：无输入开关变更。无变更三个字看起来很轻，却像一块厚石头压着洞口。<\/p>

护士长把互认判别卡补货到窗口旁的透明盒里，透明盒上贴着两句新短句：<\/p>

“互认不互填。”<\/p>

“核验不查号。”<\/p>

纪检联络员坐在窗边，翻着最新一轮跨域水位。她停在一条新的线：不是输入洞、不是私信洞、不是素材洞，也不是配置洞——而是一条叫“权限漂移”的灰线。<\/p>

她没有抬高声音，只像在提醒自己：<\/p>

“洞能开，是因为有人能开。”<\/p>

护士长抬头：“你是说……开关阀门已经锁住了，洞还会开？”<\/p>

周工皱了一下眉：“开关默认关闭、双签变更、日结封存都在。除非——有人绕过开关。”<\/p>

纪检联络员把行动单翻到新页，页眉写下四个字：<\/p>

**权限门牌**<\/p>

她落笔很稳：<\/p>

**版本洞是页面，灰度开关是配置；权限洞是钥匙。钥匙一旦漂移，阀门再多也会被人从背后拧开。**<\/p>

系统提示在林昼视野边缘亮起：<\/p>

【新风险：权限洞（超权账号\/共享密码\/临时授权常态化）】<\/p>

【形态：为抢修\/效率\/外包协作扩大权限→可绕过开关阀门】<\/p>

【对策：权限门牌（最小权限+双人钥匙柜+日结权限快照+破窗授权封存）】<\/p>

【原则：谁能开洞必须可审计；钥匙默认锁在柜里】<\/p>

林昼听见“钥匙默认锁在柜里”，脑子里一下浮出父亲常说的那句生活话：<\/p>

“钥匙别挂腰上。”<\/p>

挂腰上就会丢；丢了就会被捡走；捡走就会开门。堤岸再厚，一扇门从里面被打开，水还是会灌进来。<\/p>

就在这时，行政办公室送来一封新函，落款是省域核验平台运维牵头单位，标题看起来很“合理”：<\/p>

**关于统一平台运维权限集中管理的通知**<\/p>

通知内容更“合理”：<\/p>

*“为提升效率，减少跨区协同延迟，建议建立统一运维账号体系。”<\/p>

*“为应对突发故障，建议启用破窗权限（break-gss）机制。”<\/p>

*“为便于支持基层，建议向外包团队授予必要的后台权限。”<\/p>

最后一句，像轻轻把门往外推：<\/p>

“请各单位在三日内完成权限清单上报与统一授权配置。”<\/p>

护士长看完，心口一紧：“统一运维账号体系……这不就是把钥匙集中起来？”<\/p>

周工低声说：“集中不一定错，但集中最容易出洞。尤其是破窗。”<\/p>

纪检联络员没有反对通知的词，她反对词背后的默认：把权限当效率工具，而不是当风险。<\/p>

她只说一句：<\/p>

“可以集中，但必须门牌化。破窗可以有，但破窗必须封存。外包可以协作，但外包不能拿钥匙。”<\/p>

---<\/p>

###1）权限洞的第一种长法：共享账号<\/p>

很多洞不是被攻击出来的，是被“方便”养出来的。权限洞尤其如此：最开始只是“大家用一个账号省事”，后来就是“谁都能改配置”，再后来就是“没人知道谁改的”。没人知道谁改的，洞就变成幽灵；幽灵洞最可怕，因为它不会被当日吸收。<\/p>

周工对权限这件事最敏感。他指着通知里“统一运维账号体系”那行字说：<\/p>

“统一账号不是问题，问题是共享账号。共享账号等于无责任。”<\/p>

护士长不懂技术，但她懂一线：“共享账号就像让所有人穿同一件制服进手术室，出了事你找不到是谁碰了哪一刀。”<\/p>

纪检联络员点头：“对。只读世界的逻辑是‘不让你交出去’，权限世界的逻辑是‘不让你藏起来’。共享就是藏。”<\/p>

她在行动单上写下第一条权限门牌：<\/p>

**禁止共享账号。每个权限必须对应个人门牌与职责。**<\/p>

“这条要写进成文。”她说，“否则一线会在压力下自然走向共享。”<\/p>

压力一来，人就想省事。省事会找共享。共享就是洞。<\/p>

---<\/p>

###2）权限洞的第二种长法：破窗变常态<\/p>

通知里提到破窗权限，听起来像灾害级应急：系统故障时临时开最高权限救火。破窗本身不是罪，罪在于破窗变常态——一旦破窗成了“解决问题最快方式”，它就会被不断使用，使用到最后就是“常开”。<\/p>

纪检联络员把破窗写成一句最短定义：<\/p>

“破窗不是功能，破窗是事件。”<\/p>

这句话他们在例外阀门里用过，现在搬到权限阀门里更贴切：功能能被冒用，事件能被封存。事件必须有编号，有双签，有回滚，有审计，有公开结论。<\/p>

她写下第二条权限门牌：<\/p>

**破窗权限默认关闭，开启必须双签门牌编号，开启后必须在固定时限内回滚并封存。**<\/p>

周工补了一句更硬的技术语言，但仍然是结构话：<\/p>

“破窗账号平时不登录，不接触任何日常运维。破窗只在应急柜里。”<\/p>

护士长听懂了：“钥匙锁柜里。”<\/p>

纪检联络员点头：“对。柜子要有日志。”<\/p>

---<\/p>

###3）权限洞的第三种长法：外包拿钥匙<\/p>

通知里“向外包团队授予必要的后台权限”最危险。外包本身不是坏人，但外包的利益结构决定它更容易把入口做成生意：它靠效率吃饭，效率最爱走输入与查询。你给外包钥匙，它就能用钥匙把洞做成“服务能力”。<\/p>

周工把话说得很硬：<\/p>

“外包可以做工，不可以拿钥匙。钥匙在内部，外包只拿任务单。”<\/p>

纪检联络员把“任务单”三个字圈起来：<\/p>

“对。外包协作必须门牌化：任务单编号、操作范围、时间窗、见证记录。”<\/p>

她写下第三条权限门牌：<\/p>

**外包无直连权限，只在受控环境执行任务，任务单编号化，内部见证。**<\/p>

这就像他们的只读审计：允许看见动作，禁止带走素材；允许执行任务，禁止拥有钥匙。<\/p>

---<\/p>

###4）省里要三天上报：最容易逼出“临时授权”<\/p>

最危险的不是通知本身，而是“三天内完成”。时间压力会逼一线求快，求快就会开临时授权。临时授权一开，很难收回来。收不回来就变常态。常态就是洞。<\/p>

纪检联络员没有要求延长时间，她知道延长不一定能争到。她做的是把“快”变成“快阀门”。<\/p>

她提出一个“权限上报三件套”，让三天内也能做得稳：<\/p>

1）**权限清单只报骨架**：岗位—职责—所需操作类型，不报具体账号信息、不报密码、不报细节<\/p>

2）**统一授权先上门牌**：先上“禁止共享、破窗双签、外包无钥匙”三条门牌，再谈具体权限分配<\/p>

本章未完，点击下一页继续阅读。