验收时交不出日志，等于没验收。要三类：操作、接口、异常。每类有必须字段、保存期限和抽查办法。适用于自建或托管的业务系统，等保二级以上基本绕不开。
依据不是甲方临时加的。《政府采购法实施条例》第四十五条要求，验收书要逐项写明技术、服务、安全标准的履约情况。日志就是这一项的证据。
《网络安全法》第二十一条写得更硬。网络运营者要监测记录网络运行状态和安全事件，网络日志留存不少于六个月。
等保 2.0 就是网络安全等级保护制度，二级以上系统要过测评。它的国标 GB/T 22239 规定了审计记录该有什么：事件的日期和时间、用户、事件类型、事件是否成功。四样缺一样，审计就断链。
这三条合起来，把日志从「技术细节」变成了「验收项」。合同里没写，验收时才提，供应商完全可以说没这项交付物。
监控录像的道理一样。装了多少摄像头不重要，出了事能不能调出那一段、看清是谁，才重要。日志的价值不在「有记录」，在「能还原」。
很多系统的日志是这样的：一行「操作成功」，没有谁、没有改前改后。这种日志只能证明系统在跑，证明不了发生过什么。
第一类，操作日志。回答「谁在什么时候改了什么」。
必须有的字段：时间（精确到秒、带时区）、账号与姓名、来源 IP、功能模块、动作、业务对象编号、改前值、改后值、结果。
动作要写全。新增、修改、删除、导出、登录、授权，六种都算重要行为。少记一种，事后就少一条线索。
最常缺的是改前值。只记「金额改为 1200」，不记原来是 800，事后分不清是纠正还是篡改。
删除和导出要单独记。删了什么、导出了多少条、导到哪个账号，这三件事在误删和数据泄露里最要紧。
登录也值得单独看。同一个人几分钟内在两个城市登录，这是最便宜的异常信号，很多系统连这个都没记。
一行日志长这样。字段顺序不重要，字段齐不齐重要。少一个账号，追不到人；少一个时间，排不出先后。
格式不用自己发明。网页服务器的通用访问日志格式用了二十多年，时间、来源 IP、请求、状态码、客户端都在里面，照着抄就够。
第二类，接口日志。回答「两个系统之间传了什么、卡在哪」。
必须有的字段：时间、调用方、被调方、接口名、请求编号、耗时（毫秒）、返回码、错误摘要、关键参数。
请求编号是这类日志的灵魂。一次业务跨三个系统，三个系统各写一条，编号一样才串得起来。没有编号，排查只能靠时间猜。
返回码要照原样记，别统一写成「失败」。对方返回 500 还是超时，处理方式完全不同。
耗时要记。用户说「慢」，日志里能看出是接口本身慢，还是对方系统慢。这一条能省掉很多扯皮。
参数里的手机号、身份证号要打码。日志本身不能变成第二个泄露点。
第三类，异常日志。回答「为什么报错」。
必须有的字段：时间、服务名与实例、级别、错误码、异常类型、堆栈前 20 行、请求参数、用户编号、链路编号。
堆栈是报错时程序留下的现场。截断了只剩一句话，等于把现场扫干净了再让人来查。
级别要真的分。全是 ERROR 的日志，等于没有级别，值班的人分不清哪条要半夜起来。
还有一条容易漏：谁看过日志。查日志这个动作本身也要留痕，否则内部人员查完再删，一样查不出来。
供应商不爱做日志，原因很实在。存日志要花钱，补字段要改代码，查日志要人。三件都不产生新功能，预算里最容易被砍。
保存多久？
法规底线是六个月。建议留 12 个月，覆盖一个完整的年度审计周期。这是经验值，不是规定。
六个月是底线，不是目标。审计通常看上一年度的账，年初再想查前年的事，日志已经没了。
全量留 12 个月很贵。做法是分层：近 3 个月在线可查，3 到 12 个月归档到便宜存储，超过 12 个月按业务需要留。
给个数感。一天 10 GB 日志，一年约 3.6 TB。按冷归档存储的价格，一年一千多块，经验值。比补一次事故便宜。
验收怎么抽？
抽 20 条，不是抽 20 行。方法是先在业务系统里找一件真实发生过的事，再去日志里还原它。
第一条：找一张上个月改过的单据，问谁改的、几点改的、改前是什么。十分钟内答出来，算过。
第二条：找一笔跨系统的业务，比如下单到支付，用请求编号串出三条日志。串不起来，接口日志就不合格。
第三条：找一次用户投诉的报错，要求定位到接口和代码行。只答「重启一下就好了」的，等于异常日志没有。
20 条里能还原 18 条算合格，经验值。低于 15 条，说明字段不全，退回去补，别签验收单。
抽之前先要一份日志样例。样例里字段都不齐，20 条就不用抽了。
还要看两件事。日志能不能按时间范围查，能不能导出。只能一条条翻的，跟没有差不多。
时间要对齐。服务器时间和业务系统差 8 小时，事后对不上任何一笔业务。
交付清单四样，缺一样都不算完。
- 三类日志的字段说明表，每个字段写明含义和一个真实示例。
- 保留策略，写清留多久、存在哪、怎么归档、谁能查。
- 一次真实故障的排查记录，用日志从头到尾走一遍。
- 查询入口和两个只读账号，甲方自己留一把钥匙。
第四条最容易被忽略。供应商走了，日志还在服务器上，没人有账号，等于没有。只读账号是给自己留的门。
日志归谁，也要写清。系统托管在供应商机房时，加一句：日志属于甲方，合同终止时随数据一起导出。
别等验收才要日志。签合同就写进交付物，运行期每季度抽一次。等到出事再找，日志往往已经被覆盖了。
日志不是给技术看的，是给签字的人看的。你签的那张验收单，每一行都要有东西能对上。
