公共场所提供免费WiFi已经是标配，但很多人没意识到，一旦你把WiFi无线认证系统接进互联网，它就不再只是个网络工具，而是进入了网络安全合规的监管范围。每接入一个终端、记录一条上网日志，都对应着明确的法律义务。落地前不把合规前提理清楚，后面要么被监管约谈，要么出了事说不清责任，那种被动比多花几万块买设备难受得多。

实名要求是硬杠杠，不是可选项

按现行规定，向公众提供无线接入服务的经营者，必须对上网用户的身份进行核验。这就决定了公共场所的无线认证不能做成"连上就能用"，至少要有一道身份确认环节。现实中很多经营者图省事，用个"点击同意条款即可上网"的假认证糊弄，这种做法在监管眼里基本等于没认证。我们接触过一家连锁咖啡，就是因为长期用假认证，被要求限期整改并补录历史日志，最后不得不连夜把整套实名流程补上。合规这件事，早做是成本，晚做是代价。

日志留存时长和内容有最低标准

上网日志不是想存多久存多久，也不是想存什么存什么，而是有法定最低留存期，并且要能关联到具体身份和具体时间的具体行为。部署时很多人只关注"能不能认证"，忘了问"认证完的记录流向哪、存多久、谁有权查"。曾经有个酒店项目，认证服务器把日志只存在本地一台普通PC上，没做备份，硬盘半年就坏了，正好赶上一次协查，什么记录都拿不出来，结果是经营方自己承担了不利后果。日志这东西平时没人看，出事时就是证据，存储方案要按"可能被调阅"的标准来设计。

个人信息收集和最小必要原则

认证要核验身份，必然收集个人信息，但收集到什么程度是有边界的。手机号、身份证号属于敏感个人信息，收集时要明确告知用途、取得同意，并且不能超范围使用。我们见过一些场所的认证页顺手勾选了"同意接收营销短信"，或者把手机号转给第三方做推广，这已经踩到了个人信息保护的红线。合规的做法是：认证需要什么就收什么，授权条款单独列清楚，营销动作必须用户另行主动勾选，两套流程不能混在一起。

公安对接接口不是所有场景都强制，但要提前问

不少经营者听到"实名"就以为必须接公安平台，其实不同场所、不同地区的监管要求不完全一样。有的地区要求经营性场所对接指定的安全监管平台，有的对小微商户只要求做好本地实名留存。最怕的是自己猜一个结论就开工，最后要么多花冤枉钱接了用不上的接口，要么该接的没接被责令停业。落地前最稳妥的方式是向属地网安或行业主管部门确认清楚：本场所属于哪类监管对象、需要对接什么、标准是什么。把这份确认作为方案的一部分，比任何厂商的口头承诺都管用。

网络隔离和 guest 网络的边界

公共场所的访客WiFi和经营系统、监控专网必须隔离，这是合规和安全的双重底线。如果访客网络能直通收银系统或者监控网络，一旦有用户在访客侧作恶，责任会直接落到经营者头上。部署时要分清楚：访客走独立VLAN，经营内网走另一条，二者之间不允许互访。不少小场所为了省钱共用一个网络，表面省了设备，实际把经营数据和访客流量混在一起，监管检查一查一个准。隔离不是技术炫技，是保护自己。

公示义务和用户界面提示

提供无线接入服务，通常需要在显著位置公示服务提供者、备案信息，并在认证页明确提示用户"上网行为将被记录用于安全目的"。这些看似形式化的要求，其实是合规闭环里的一环。我们帮一家商场做整改时，发现他们认证页密密麻麻全是广告，唯独没有安全提示，被指出后补了一行字才过关。界面上的提示文字不是装饰，是法律要求的告知，遗漏了就等于告知义务没履行。

合规不是一次性动作，要纳入日常运营

很多单位把合规当作上线前的一次性检查，系统跑起来就再不管了。但监管要求会更新，设备会换，流程会变。建议把无线认证纳入定期自查：日志还在正常留存吗、存储周期达标吗、授权条款和界面提示有没有被改丢、隔离策略还生效吗。我们一般建议客户每季度做一次合规回头看，花半天时间，能避免大部分突击检查时的手忙脚乱。合规这件事，平时多流汗，出事少流血。