---
title: 证据、安全与未知结果
type: standard
status: active
updated: 2026-08-31
tags: [evidence, security, operations]
---

# 证据、安全与未知结果

## 证据等级

| 等级 | 定义 | 使用方式 |
|---|---|---|
| A | 当前代码、自动化测试、数据库结构或可重复的本地行为 | 可作为实现事实；改动后必须重新验证 |
| B | 已观察到的外部服务响应或页面行为，但没有稳定、可脱敏的固定样本 | 可指导兼容；文档中必须注明外部行为可能变化 |
| C | 推测、回忆或尚未复现的说法 | 只能列为待验证假设，不能作为自动状态迁移依据 |

## 敏感信息边界

不得写入 Git、知识库、测试快照或普通日志：

- 实际邮箱或账号清单、密码、辅助邮箱；
- ChatGPT Session 原文、access token、refresh token、session token；
- API Secret、飞书密钥、代理用户名和密码；
- 卡密、支付凭据、OTP/TOTP 值；
- 可还原账号身份的截图、CSV 或数据库副本。

允许记录字段名、数据流、脱敏错误码、数量和哈希元数据。凭据由本地配置或 Windows DPAPI 密文保存；日志只应说明“已读取/缺失/失效”，不能打印内容。

## 远程副作用后的未知结果

邀请、迁移、充值确认等请求在服务端可能已经成功，而客户端收到超时、断线或本地落库失败。此时结果是“未知”，不是普通失败。

处理顺序：

1. 保留可恢复指针，例如远程任务 ID、操作 ID或可重新读取的团队成员关系。
2. 执行只读后置条件查询。
3. 确认远程未生效后，才允许重新发起副作用请求。
4. 如果无法确认，保持处理中、待人工确认或明确的“外部已生效但本地保存失败”，不得伪造失败。

## 证据保留

运行证据只记录目录、时间范围、文件数量、总体大小、版本提交和测试结果。原始数据库、日志、截图和导出文件继续留在受控运行目录，不能复制进知识库。