标准答案
- 对登录、权限变更、资金操作、配置修改、数据导出和高风险管理动作记录谁做了什么、影响了谁、何时发生和结果如何。
- 审计事件应结构化保存稳定业务标识、请求关联和版本信息，必要时保存变更前后摘要而不是完整敏感内容。
- 写入路径应限制普通业务代码随意修改或删除，可使用追加式存储、权限分离、签名或链式校验提升完整性。
- 查询、导出和保留也要受权限与审计控制，避免审计系统本身成为个人信息泄露入口。
题目解析
审计日志不同于调试日志：它强调责任、不可抵赖和长期可检索，因此字段、保留和权限都更严格。
“防篡改”是成本与风险的权衡。关键是明确谁有写、读、删除权限，并让异常修改能够被发现。
常见误区
- 只记录操作成功，不记录失败尝试和权限拒绝。
- 把完整密码、令牌或敏感文件内容写进审计记录。
- 允许业务管理员直接修改或删除自己的审计痕迹。