早上九点二十，野月的会议室还没散掉昨晚封存设备留下的冷意。

长桌上铺着三样东西：一份打印出来的高风险权限清单，一台接着投影的后台电脑，还有周鹏昨夜导出的权限申请截图。截图里，YY-PERM-225-078的审批流停在「系统自动通过」，申请理由只有五个字——活动数据核对。下面没有期限，没有导出范围，也没有关闭节点。

林听晚把纸推到桌中央。

「这不是审批。」她说，「这是给风险开门，门口贴了张『请自觉』。」

技术负责人周鹏一夜没睡，眼下发青。他没替系统辩解，只把电脑切到后台配置页：「历史上为活动响应快，运营临时权限包走简化流。谁申请，系统按岗位匹配，符合自动开。导出量有日志，但不拦截；期限默认三十天，可续期；关闭靠人事离职或部门提单。」

温岚坐在林听晚右侧，手里的红笔已经在清单上圈了七八处。她不像周鹏那样急着解释技术限制，只问最朴素的问题：「谁知道三十天到了以后有没有人还在用？」

周鹏沉默两秒：「理论上系统能查。」

「我问的是谁知道。」温岚把纸页翻过去，「能查和有人负责查，是两件事。」

梁舒坐在靠门的位置。她的工牌还挂在脖子上，基础办公权限已经恢复，高风险权限仍暂停。昨晚调查口径改掉之后，内部群里发了统一通知，没有她的名字，只有INC-229和退库设备异常使用。可她走进会议室时，还是不自觉地看了一眼门外，确认没人等着听她解释。

林听晚看见了，却没有把目光停太久。

她打开白板笔，在屏幕旁写下五个词：申请理由、审批人、期限、导出范围、关闭节点。

「权限制度先不写漂亮话。」她说，「我们只看这五件事有没有人、时间、证据。以后任何高风险权限，申请须写具体理由，不能写『业务需要』『临时处理』。审批人不能只有直属上级，涉及客户数据、财务数据、投放后台的，须加数据或项目负责人。期限不能默认三十天，按任务填，最长七天，超七天重申请。导出范围要选字段、表名、时间区间。关闭节点要提前定，不是等人想起。」

周鹏听到「最长七天」时，眉头皱起来：「林总监，这样会卡业务。大促期间活动复盘可能跨两周，运营每天导数据。每七天续一次，审批人被打爆。」

「那就证明这权限不是临时权限。」林听晚说，「应建成固定岗位权限，限定字段，定期复核。临时权限不能伪装成长期岗位。」

周鹏想了想，又说：「实现也有成本。申请理由和期限字段现在能加，导出范围需对接数据平台，审批截图留存需接对象存储，到期提醒要改任务队列。技术这周还在做融资尽调数据室，安全只有两人。」

会议室安静一瞬。

效率和安全冲突不是口号，是周鹏桌上排满的工单，是客户群催出的日报，是运营凌晨两点发的「先开一下我明天补」。林听晚没把这些抹掉。

她问：「现在后台能最快改什么？」

周鹏把配置页下拉：「权限申请表今天可加字段。理由、期限、审批人、关闭节点都能落库。导出范围若先不做字段级联动，可先做文本加附件，要求申请人上传导出需求截图。到期提醒可先用定时任务扫权限表，提前一天给申请人、审批人和安全群发提醒。真正自动关闭要谨慎，怕误关线上流程，可先改成到期转待确认。」

温岚把红笔停：「待确认不够。到期后若没人确认，责任会悬空。」

周鹏有点急：「自动关会出事故。比如投放账户当天结算，权限一断，数据回传失败，客户就炸了。」