1|# 子系统 09 — 审计与通知中心 (`audit`) v1.0
2|
3|## 子系统概述
4|
5|| 维度 | 说明 |
6|| --- | --- |
7|| 代号 | `audit` |
8|| 核心职责 | 状态变更审计、敏感字段访问日志、多类型通知/告警 |
9|| 数据所有权 | `interaction_audit_logs`, `notification_records`, `manual_review_tasks` |
10|| 启动依赖 | 无硬依赖，完全独立 |
11|| 外部系统依赖 | 通知可能通过 IM/EDM/APP Push 等通道（可复用 outreach 通道或独立） |
12|
13|---
14|
15|## 1. 模块划分
16|
17|```
18|┌─────────────────────────────────────────────────────────────┐
19|│ audit 子系统 │
20|│ │
21|│ ┌──────────────┐ ┌──────────────┐ ┌──────────────┐ │
22|│ │ M1: 状态变更 │ │ M2: 敏感操作 │ │ M3: 通知分发 │ │
23|│ │ 审计 │ │ 审计 │ │ 引擎 │ │
24|│ └──────┬───────┘ └──────┬───────┘ └──────┬───────┘ │
25|│ │ │ │ │
26|│ ▼ ▼ ▼ │
27|│ ┌──────────────┐ ┌──────────────┐ ┌──────────────┐ │
28|│ │ M4: 通知模板 │ │ M5: 人工复核 │ │ M6: 对外 API │ │
29|│ │ 管理 │ │ 任务 │ │ Gateway │ │
30|│ └──────────────┘ └──────────────┘ └──────────────┘ │
31|│ │
32|└─────────────────────────────────────────────────────────────┘
33|```
34|
35|| # | 模块 | 职责 |
36|| --- | --- | --- |
37|| M1 | 状态变更审计 | 记录所有业务对象的状态流转（对象ID/旧状态/新状态/操作人/时间/原因） |
38|| M2 | 敏感操作审计 | 敏感字段访问记录、数据导出记录、人工复核操作留痕 |
39|| M3 | 通知分发引擎 | 按通知类型路由到不同通道（系统内通知/IM/EDM/APP Push）；通知优先级管理 |
40|| M4 | 通知模板管理 | 各类通知的模板（额度预警/Listing 预警/超时提醒/审批通知/风险告警） |
41|| M5 | 人工复核任务 | 管理需要人工复核的任务（弱关联风险/额度预警池/异常评价），供风险/运营人员消费 |
42|| M6 | 对外 API Gateway | 接收所有子系统上报的审计事件和通知请求 |
43|
44|---
45|
46|## 2. 各模块内外说明
47|
48|### 2.1 M1: 状态变更审计
49|
50|| 维度 | 说明 |
51|| --- | --- |
52|| **对内** | 接收所有子系统的状态变更事件（fire-and-forget）；记录：对象类型（plan/ticket/risk_case/review…）、对象ID、旧状态、新状态、操作人、操作时间、操作原因；审计日志不可篡改（append-only）；支持按对象ID/操作人/时间范围检索 |
53|| **对外接口** | `POST /api/audit/event` — 上报审计事件 |
54|| **数据写入** | `interaction_audit_logs` |
55|| **典型事件** | 计划状态变更（草稿→审批→执行→完成）、工单分配/关闭、风险事件确认/排除、额度手动调整、审批决策 |
56|
57|### 2.2 M2: 敏感操作审计
58|
59|| 维度 | 说明 |
60|| --- | --- |
61|| **对内** | 三类敏感操作：①敏感字段访问（用户上下文卡中的涉密字段→记录访问人/时间/字段/上下文）②数据导出操作（导出人/时间/范围/原因/是否含敏感字段）③人工复核操作（决策人/决策内容/决策依据/时间） |
62|| **对外接口** | `POST /api/audit/sensitive-access` — 上报敏感访问 |
63|| **数据写入** | `interaction_audit_logs`（带 sensitivity 标记） |
64|
65|### 2.3 M3: 通知分发引擎
66|
67|| 维度 | 说明 |
68|| --- | --- |
69|| **对内** | 接收通知请求→按通知类型路由：①系统内通知（Web 前端轮询/WebSocket）②IM 通知（通过 outreach）③EDM 通知 ④APP Push；优先级管理（紧急 Listing 预警 > 超时提醒 > 额度预警）；通知去重（同一用户同一类型短时间内不重复发） |
70|| **对外接口** | `POST /api/notifications/send` — 发送通知 |
71|| **依赖** | outreach（IM/EDM/APP Push 通道） |
72|
73|### 2.4 M4: 通知模板管理
74|
75|| 维度 | 说明 |
76|| --- | --- |
77|| **对内** | 通知类型与模板：①额度预警（「真实人 X 的测评额度仅剩 1 次」）②紧急 Listing 预警（「ASIN X 评分接近 4.2，建议紧急催评」）③客服超时提醒（「工单 #123 已超时 N 小时未回复」）④审批通知（「计划 X 等待您的审批」）⑤规则风控提醒（「ASIN X 频控过高」）⑥风险告警（「用户 X 命中强关联风险」） |
78|| **对外接口** | 管理 API |
79|| **数据写入** | `notification_records` |
80|| **待确认** | 模板是否需要多语言（中文/英文/菲律宾语）？模板管理界面在 audit 内部还是独立？ |
81|
82|### 2.5 M5: 人工复核任务
83|
84|| 维度 | 说明 |
85|| --- | --- |
86|| **对内** | 统一管理需人工复核的任务：弱关联风险复核、额度预警池复核、异常评价复核、诈骗疑似复核；任务分配/认领/完成/超时 |
87|| **对外接口** | `POST /api/audit/review-task` — 创建复核任务；`GET /api/audit/review-tasks?assignee=` — 查询待复核任务 |
88|| **数据写入** | `manual_review_tasks` |
89|
90|---
91|
92|## 3. 对外 API 契约（草案）
93|
94|| 接口 | 方法 | 输入 | 输出 | 消费者 |
95|| --- | --- | --- | --- | --- |
96|| 上报审计事件 | `POST /api/audit/event` | `{object_type, object_id, old_status, new_status, operator, reason}` | `{event_id}` | 所有子系统（状态变更时调用） |
97|| 上报敏感访问 | `POST /api/audit/sensitive-access` | `{operator, field, context, accessed_at}` | `{event_id}` | identity（上下文卡访问） |
98|| 发送通知 | `POST /api/notifications/send` | `{recipient, type, template_id, params}` | `{notification_id}` | 所有子系统 |
99|| 创建复核任务 | `POST /api/audit/review-task` | `{task_type, target_id, priority, description}` | `{task_id}` | risk, quota |
100|
101|---
102|
103|## 4. 数据对象
104|
105|| 对象 | 核心字段 | 说明 |
106|| --- | --- | --- |
107|| interaction_audit_logs | log_id, object_type, object_id, old_status, new_status, operator, operation, reason, sensitivity_level, logged_at | 审计日志（append-only） |
108|| notification_records | notification_id, recipient, type, template_id, channel, sent_at, status(SENT/DELIVERED/READ/FAILED) | 通知记录 |
109|| manual_review_tasks | task_id, task_type, target_id, status(PENDING/ASSIGNED/IN_REVIEW/RESOLVED/TIMEOUT), assignee, priority, created_at, resolved_at | 人工复核任务 |
110|
111|---
112|
113|## 5. 业务澄清问题清单 — audit
114|
115|### 5.1 审计范围与保留（4 项）
116|
117|| # | 问题 | 优先级 |
118|| --- | --- | --- |
119|| A-01 | 审计日志的保留策略？（保留多久？1 年？永久？到期后归档还是删除？） | P0 |
120|| A-02 | 审计日志的存储量预估？（日产生多少条？是否需要分库分表/冷热分离？） | P1 |
121|| A-03 | 审计日志是否需要支持导出/报表？（合规审计时需要导出给外部审计？） | P1 |
122|| A-04 | 「敏感字段」的定义范围？（订单号、收款信息、设备号——还有哪些？谁来确定完整清单？） | P0 |
123|
124|### 5.2 通知策略（4 项）
125|
126|| # | 问题 | 优先级 |
127|| --- | --- | --- |
128|| A-05 | 通知发送通道的优先级？（紧急告警用什么通道？IM？系统内通知？邮件？） | P1 |
129|| A-06 | 通知去重规则？（同一用户同一类型通知 N 分钟内不重复发？） | P1 |
130|| A-07 | 通知是否需要用户偏好设置？（用户可以选择不接收某类通知？公告类通知是否强制发送？） | P2 |
131|| A-08 | 通知模板是否需要多语言支持？（中文/英文/菲律宾语？）模板由谁来维护？ | P2 |
132|
133|### 5.3 人工复核任务（2 项）
134|
135|| # | 问题 | 优先级 |
136|| --- | --- | --- |
137|| A-09 | 人工复核任务的时效要求？（不同任务类型 SLA？弱关联风险 N 小时内复核？额度预警池 N 分钟内复核？） | P1 |
138|| A-10 | 复核任务超时后的升级机制？（自动分配给上级？通知主管？） | P2 |
139|
140|### 5.4 与其他子系统的协作（2 项）
141|
142|| # | 问题 | 优先级 |
143|| --- | --- | --- |
144|| A-11 | 通知通道是否完全复用 outreach？（IM/EDM/APP Push）还是 audit 独立对接通知通道？（如果 outreach 不可用，audit 仍需要能发告警） | P1 |
145|| A-12 | 审计事件是同步上报还是异步？（同步→影响业务链路性能 / 异步→可能丢失事件） | P1 |
146|
5.5 合规与认证（3 项）
| # |
问题 |
优先级 |
| A-13 |
系统是否需要通过合规认证？（SOC2 Type II / ISO 27001？）认证对审计日志的完整性、不可篡改性、保留期限有何具体要求？ |
P1 |
| A-14 |
数据导出请求（DSR）——用户或监管机构要求导出所有个人数据时，系统如何响应？（需要哪些子系统的数据？导出格式？响应时限？） |
P1 |
| A-15 |
审计日志是否需要对第三方审计开放？（外部审计师需要查看审计日志时——权限控制和数据脱敏？） |
P2 |
5.6 日志保留与归档（3 项）
| # |
问题 |
优先级 |
| A-16 |
审计日志的分级保留策略？（状态变更日志保留 X 年 / 敏感访问日志保留 Y 年 / 通知记录保留 Z 月？） |
P1 |
| A-17 |
日志归档方案？（超过保留期的日志是删除还是归档到冷存储？归档后是否仍可检索？） |
P2 |
| A-18 |
日志存储量预估？（日产生日志条数 × 保留天数 = 需要的存储空间——是否需要分库分表/分区？） |
P2 |
5.7 敏感数据脱敏（3 项）
| # |
问题 |
优先级 |
| A-19 |
审计日志中是否允许记录敏感字段的明文？（例如「谁在何时查看了用户 X 的收款信息」——收款信息是否脱敏存储？） |
P1 |
| A-20 |
日志查询权限——谁可以查审计日志？（管理员？审计员？）是否需要限制只能查自己相关的日志？ |
P1 |
| A-21 |
生产环境的日志是否可以包含 PII（个人可识别信息）？（邮箱/电话/地址——是否在写入日志时自动脱敏？） |
P1 |
5.8 通知可靠性（3 项）
| # |
问题 |
优先级 |
| A-22 |
通知的可靠性保证——紧急告警（如 Listing 评分暴跌）是否需要确保送达？（有送达确认机制吗？发送失败后重试？） |
P1 |
| A-23 |
通知通道的优先级切换——IM 通知失败后是否自动切换到 EDM 或系统通知？ |
P2 |
| A-24 |
通知的聚合/摘要——同一个用户短时间收到多条同类通知是否合并？（「您有 3 个待审批计划」而不是 3 条独立通知） |
P2 |
5.9 实施层面（4 项）
| # |
问题 |
优先级 |
| A-25 |
审计事件是同步写入还是异步写入？（同步→影响业务链路 RT / 异步→可能丢失事件——如何取舍？） |
P1 |
| A-26 |
审计日志的查询性能——是否需要支持全文搜索？（按操作人/对象ID/时间范围检索是否需要在秒级返回？） |
P2 |
| A-27 |
通知通道的可靠性——如果 audit 子系统本身宕机，其他子系统的通知请求是否丢失？（是否需要消息队列做缓冲？） |
P1 |
| A-28 |
audit 子系统是否需要独立的数据库？（与其他子系统共享数据库会在高峰期互相影响——是否独立部署数据库？） |
P2 |
