审计日志Audit Log

你可能会说

管理员改了谁的权限？我想知道谁在什么时候改了什么，结果是成功还是被拒绝。

按时间顺序记录谁在何时对什么对象执行了什么操作，以及最终成功或被拒绝的结果。例如管理员修改 billing-editor 权限后，审计日志会留下操作者、时间、目标对象、动作和成功或拒绝结果，方便追查权限变化。它不同于只说明程序出错的报错日志，也不同于观察健康指标的监控；请求内容可能含敏感信息，记录范围和访问权限需要控制。

先知道

权限控制 Authorization服务端日志 Server Logs

也常被叫作操作日志安全审计日志审计记录

一次权限变更怎样留下可追查的证据

管理员权限审计记录user_42 变成管理员

应用日志permission updated

操作者未知

来源与时间无法确认

可观察证据系统只留下结果，没有操作上下文

团队无法回答是谁在什么时候改了权限。

审计日志要回答哪些问题

先看到发生了什么：当管理员改动权限后，只有“当前权限变了”还不够。记录要把操作者、时间、目标对象、动作和成功或拒绝结果关联起来，团队才能还原这次安全相关操作。

让追查结果回到权限流程：如果成员突然失去结算权限，先按账号、角色和时间筛选记录，再核对请求是否成功以及当时的身份来源。确认原因后修正权限，并用一条新的可查记录证明修正发生了；没有记录或记录不可访问，就无法可靠还原过程。

第二个场景：病历更正：病历内容被更正时，审计日志应关联操作者、时间、目标病历、修改动作和结果，便于还原谁做了哪次变更；无关的敏感正文不应整段写入日志。

选择题选择一个你认为最合适的答案

有人把财务组成员移出了结算权限。哪条证据最适合先用来追查？

查看当天请求量曲线，按曲线峰值推断是哪位管理员操作的查找包含操作者、时间、目标权限、动作和结果的审计记录只搜索服务端报错日志，看到没有报错就认定没有权限变更

你可以这样告诉 AI Agent

请为管理员权限变更补上审计日志，至少记录操作者、时间、目标账号或角色、变更动作和成功/拒绝结果。不要把密码或不必要的敏感内容写入日志。改完后用一次成功和一次被拒绝的变更验证记录能被查到，并说明谁可以访问这些记录。