金融可观测落地的三个硬约束：审计、留痕、隔离

金融场景为什么特殊

金融行业上可观测平台，和互联网公司最大的区别不是技术选型，而是三件"硬约束"：审计要求（谁、在什么时间、查了什么数据）、留存要求（日志保留 180 天甚至更久）、隔离要求（生产数据与开发测试严格分开）。这三件事做不到，平台再炫也没用——合规审查一票否决，技术能力再强也白搭。

审计：每一次查询都要留痕

监管检查时会问：过去半年里，谁在凌晨导出了生产日志？所以可观测平台必须记录每一次敏感操作。炬鲸 OBSERVE 在审计层记录四类事件：登录、查询、导出、Token 变更，每条带操作者、时间、来源 IP、SQL 原文。

audit:
  enabled: true
  retention_days: 365
  events: [login, query, export, token_rotate]
  block_sensitive_export: true

block_sensitive_export 开启后，含身份证号、卡号等字段的日志导出会被直接拦截，只允许脱敏导出，从源头堵住数据外泄。审计日志本身也要留存一年以上，且不可由运维自行删除。

留存：冷热分层降成本

日志全量热存 180 天成本极高，一台中型机构一天日志就可能上百 GB。落地做法是热数据（30 天内，SSD、秒级检索）→ 温数据（30-180 天，对象存储、分钟级检索）→ 冷归档（180 天以上，压缩归档、按需恢复）。控制台对查询无感，自动路由到对应层，但成本能差一个数量级。关键是归档格式要用通用格式（如 Parquet + 索引清单），几年后恢复时不被私有格式卡脖子。

隔离：生产环境是"单向门"

金融要求生产与测试环境之间数据不可见、不可互访。做法是环境级隔离 + 权限分级：开发、测试、生产三个环境各自独立的命名空间，测试人员默认无生产权限；生产环境的查询必须走审批流，审批通过后获得限时只读权限，到期自动收回。这里的"单向门"是指：测试数据可以进测试环境，但测试人员的查询动作永远不能跨进生产。

落地清单

给技术负责人一张自检清单：审计日志是否可追溯半年以上、敏感字段是否默认脱敏、生产查询是否有审批与限时、冷热分层是否真的生效。四条都满足，金融合规基本就站稳了；缺一条，先补那一条再谈扩容。