Q07 · 用户隐私与审计巡检包（WIP-318 · 小齐 R9+R10）

版本：v1.0｜执行：小齐｜时间：2026-09-14 00:2x｜基线 HEAD：9b88ece9（推送后 0ef1efe3）

依据设计文档：docs/reports/gpt6-评审-2026-09-13/03-波波小齐苦力活长线包设计.md（14 要素 / 12 字段证据 / P0-P3）

依赖：B02（角色矩阵）、用户与审计实现；不改核心代码，缺陷回原包

1. 包名称与目标

Q07「用户隐私与审计巡检包」。目标：核验①敏感字段脱敏、②越权读取防护、③注销/导出/隐私设置是否存在、④关键操作是否有审计留痕。

2. 本次覆盖范围

users 表隐私字段盘点（staging）
审计相关表实测留痕量与覆盖动作
注销/导出/隐私设置端点存在性（全路由扫描）
身份接口敏感字段暴露（实接口）
越权读取探针（非破坏性）

3. 明确不覆盖范围

注销/导出的实现（属核心席，本包只核存在性与合规缺口）
生产数据导出与脱敏策略落地（不在本包）
权限中间件实现（属核心席）

4. 涉及接口/文件/文档边界

表：users、audit_log、order_intervention_logs、order_events、document_audit_logs、merchant_updates
接口：GET /api/miniapp/identity、GET /api/miniapp/orders/{id}、GET /api/miniapp/orders
路由扫描：backend/app/routers/*.py

5. 字段定义

项	口径
敏感字段	openid / unionid / phone / 密码哈希 / 证件类
脱敏合格	对端接口响应中不出现上述字段原文
越权合格	访问他人资源返回 404（防 id 探测）而非 200 泄露
审计合格	关键操作在审计表有可追溯记录（含操作人/角色/时间）

6. 成功路径

库结构盘点 → 路由扫描 → 实接口取字段 → 非破坏性越权探针 → 分级登记。

7. 异常路径

端点零命中 ⇒ 记 GAP（功能未实现）
探针不可达 ⇒ 记 ENV_UNAVAILABLE
审计表有数据但覆盖动作单一 ⇒ 记 P1（关键操作不可追溯）

8. 幂等与重复请求规则

全部只读；越权探针使用不属于自己的资源 ID，不写入、不改状态。

9. 权限与审计要求

本包只取字段名与统计值，不落任何真实手机号/openid/密码值；审计样本仅取动作与角色。

10. 与现有实现的差异

项	设计判据	实测
导出与注销	「导出和注销有审计记录」	端点零命中（功能不存在，遑论审计）
关键操作可追溯	「关键操作可追溯」	audit_log 仅 1 种动作（payment_mode_change）

11. 依赖与阻塞项

B02（波波角色矩阵） 未交付 ⇒ 权限矩阵一致性无法完整核验（本包只做越权探针）
注销/导出的产品决策需核心席与刘总确认是否本期实现

12. 待核心席确认事项

注销/导出是否本期实现？（涉个人信息主体权利，建议至少规划）
哪些动作必须进 audit_log？（建议：登录、权限/角色变更、审核、退款、核销、导出、注销）
文档审计表 document_audit_logs 目前 0 条，是否为预留？

13. 验收证据

13.1 敏感字段盘点（`users` 表）

存在隐私字段：openid、unionid、phone、nickname、avatar_url、admin_password_hash、status、token_version、last_login_at、is_test

13.2 脱敏核验（✅ PASS）

对象：GET /api/miniapp/identity｜环境：staging｜版本：0ef1efe3
实际结果：响应字段 = mode / is_admin / is_company_staff / is_employee / staff_role / permissions / memberships / identities
结论：PASS —— 未返回 openid / unionid / phone / 密码哈希原文

13.3 越权读取探针（✅ PASS）

对象：GET /api/miniapp/orders/1（订单不属于当前 token 用户）
操作步骤：以自有 token 请求他人订单
预期结果：404（防 id 探测，非 403）
实际结果：HTTP 404 {"code":404,"message":"订单不存在"}
对照：同 token GET /api/miniapp/orders → HTTP 200
结论：PASS —— 未越权读取，且未以 403 泄露资源存在性

13.4 审计留痕实测

表	行数	覆盖
`audit_log`	5	仅 `payment_mode_change`（@merchants, role=owner）
`order_intervention_logs`	4	订单干预 ✅
`order_events`	263	订单事件 ✅
`document_audit_logs`	0	空（预留？）
`merchant_updates`	8	商户变更 ✅

13.5 缺陷单

🟠 Q07-D01｜审计留痕覆盖极窄，关键操作不可追溯（P1 严重）

对象：audit_log（字段齐全：table_name/record_id/action/detail/operator_id/operator_role/created_at）
实际结果：仅 5 行、仅 payment_mode_change 一种动作；审核、退款、核销、登录、权限/角色变更、导出等均无留痕
预期结果：关键操作应有含操作人、角色、时间的可追溯记录
结论：FAIL｜等级 P1｜责任人：阿仁（核心席）+ 波波 B02/B08（定义必审动作清单）
复验条件：给出必审动作清单并实现；抽样 5 类关键操作均能在 audit_log 查到记录

🟠 Q07-D02｜无注销/导出/隐私设置端点（P1 严重 · 合规）

对象：注销 / 个人信息导出 / 隐私设置
操作步骤：全路由正则扫描 delete|deletion|export|privacy|consent|close-account|withdraw
实际结果：零命中（命中项均为分销提现 withdrawals，与隐私无关）
预期结果：个人信息主体至少具备查阅/复制/删除（注销）渠道
结论：FAIL｜等级 P1（合规缺口）｜责任人：核心席 + 波波（契约），是否本期实现待刘总/核心席定
复验条件：端点存在且有审计留痕；注销须明确"真实删除或冻结"口径（属核心席裁决项）

⚪ 观察项（不记缺陷）

document_audit_logs 0 行：疑为预留表，待确认
订单域留痕较完善（order_events 263 行），本域不计缺陷

14. 版本号与变更摘要

v1.0（2026-09-14 00:2x）：首版。脱敏 ✅、越权防护 ✅；2 张 P1 缺陷单（审计覆盖窄 / 注销导出缺失）；1 项观察（文档审计表为空）。
不停顿：Q01、Q04、Q07 已交，续接 Q08（回归巡检与发布回执）。