第100章 复盘会：把影子写进条款里(1/6)
凌晨三点，治理修复委员会的临时群里弹出一条告警截图——不是来自舆情系统，而是来自顾明刚上线的“接口调用审计告警”原型：
**“跨域调用触发：PROPERTY-EXT-PUSH-ENABLE（被拒绝）｜来源：未知API请求｜指纹：已吊销TKN-7F2A（疑似重放）｜动作：自动编号+封锁”**
梁总几乎是从椅子上弹起来的：“他们还在试。”
周砚盯着那行“疑似重放”两个字，心里反而沉得更稳。装置被拔了喉管后，真正的危险不是它还会不会咬人，而是它会用残余方式证明“你们的制度没用”。只要能证明制度没用，组织里那些厌烦麻烦的人就会说：看吧，制度挡不住，还是靠关系、靠口头、靠专项。
他们要的不是成功，而是让你失望。
“重放指的是什么？”陆律问。
顾明把日志投到屏幕上：“有人试图用已吊销的token发起API请求。按理说，吊销后请求应直接拒绝。但他们在请求里加了一个‘回放头’，像是在模拟旧网关的验证路径。也就是说，他们在试探：是否存在‘备用验证通道’，或者某些系统还在信任旧的token指纹。”
“这就是复活的方式。”许衡在电话那头说，“不是重建全套装置，而是找一条你们忘记封的旧路。旧路只要存在，就可以被叙事包装成‘制度也挡不住’。”
周砚没有犹豫：“立刻做两件事：
1）全网范围内搜‘旧验证通道’的配置残留，尤其是云环境边缘节点；
2）把这次重放尝试作为一条单独的证据链移交警方：有人在装置被拆后继续试图绕过控制，这不是历史遗留，是持续行为。”
罗主任立刻应声：“已经自动编号入库。我让警方按‘持续干预’升级。”
梁总还担心另一件事：“如果他们成功找到一条旧路，会不会再次触达外包执行链？”
顾明摇头：“短期内不会。notify.exec已经隔离，物业推送接口在清单外全部关了。但他们可以在内部制造混乱，比如让某个系统故障、让某个权限异常，然后再出现‘临时专项’的口头指令来抢修。只要有人一着急，就会想开暗门。”
“所以我们必须把抢修也写进制度。”周砚说，“让‘应急’本身可追溯。否则他们就会用应急当借口。”
这一夜没有吵闹。团队的节奏像机器一样往前推进：查残留、补规则、做编号、出报告。凌晨五点，顾
本章还未完，请点击下一页继续阅读>>>
