这是 Beta 探索课程，内容结构、实验步骤和示例可能会继续调整。
审计日志与风险处置
为什么要审计
文件被谁上传、谁下载、谁删除、谁改了权限——如果这些事后追不清，系统就谈不上「可治理」。审计日志是安全事件调查、合规检查、误删恢复的唯一线索。
关键操作要记录什么
| 操作 | 需要记录的信息 |
|---|---|
| 上传 | 用户、IP、文件 hash、大小、类型、结果 |
| 下载 | 用户、文件、时间、来源、签名过期时间 |
| 删除 | 操作人、原因、是否物理删除 |
| 审核 | 审核结果、规则命中、人工处理记录 |
审计不能拖垮主流程
审计日志不要和业务主流程强耦合：
- 主流程只写入轻量事件。
- 日志服务异步消费、落库。
- 审计系统故障，不能阻塞上传。
风险处置链路
发现风险文件后，系统要能快速处置：
风险文件处置
扫描 / 审核命中风险
1 · 动作
文件状态改为 blocked
禁止普通访问2 · 动作
刷新 / 禁用 CDN 缓存
撤下已分发的旧内容3 · 动作
取消未过期的签名 URL
已发放的临时通行证作废4 · 动作
通知上传者或管理员
说明原因与处理路径5 · 结果
保留证据与审计记录
隔离文件短期留存，供追责风险被快速关闭并留下证据链
处置的完整闭环
风险处置不是「把文件藏起来」，而是完整闭环：
- 阻断：状态改为 blocked，禁止访问。
- 撤下：刷新 CDN、作废签名。
- 通知：告知相关人。
- 留证：隔离文件 + 审计记录。
- 复盘：更新校验 / 扫描规则，防止同类风险再进来。
一句话
安全审计补齐后，文件系统才从「能传能下」变成「可管理、可追责、可上线」。上传前校验、异步扫描、权限控制、审计与处置，共同构成完整的治理链路。
下一章把所有模块串成完整系统架构。