日志这件事，平时没人关心，一旦出事就是唯一能说清楚真相的东西。WiFi无线认证系统每天产生大量上网记录：谁、在什么时间、用什么设备、访问了什么。这些记录既是合规要求，也是安全事件调查的关键证据。但日志怎么存、存多久、存什么、谁能查，里面门道不少，处理不好要么存了一堆没用的，要么该存的偏偏丢了。

搞清楚哪些日志是法定必须留的

上网日志不是想留什么留什么，法定要求的是"谁在什么时间通过哪个IP访问了什么地址"这类关联记录，并且要达到能追溯到具体身份的程度。有些人误以为只存认证成功日志就行，其实光有"某人登录过"不够，还要有登录之后的访问行为记录配对。我们帮客户梳理时，第一件事就是对照监管要求列出必留字段清单，缺一个补一个，不能凭感觉。法定最低留存期也要确认，地区不同可能不一样，别自己拍个"存三个月"就完事。

日志的完整性和防篡改

日志要能起到证据作用，前提是它不能被随便改。如果日志存在一台谁都能登的普通服务器上，出事后发现记录被改过或者被删过，那它就没有任何证明力。实务上建议日志写完后尽量只追加不修改，重要的场所会上哈希校验或者送到独立的日志服务器。我们见过一个小场所，日志和认证系统放同一台机器，运维误删了一个分区，半年记录全没了，正好赶上协查，结果可想而知。日志的可靠性，比数量重要。

存储容量和滚动策略要算账

日志是会涨的，而且涨得比想象快。一个中等场所，一天几万条上网记录，按法定留存期算下来是天文数字。设计时要算清楚：每日增量多少、留存期内总量多少、存储成本多少。常见做法是热数据放数据库方便检索，冷数据定期归档到低成本存储，超过留存期的自动清理。我们一般建议客户上线前做一遍容量测算，别等硬盘满了系统开始丢日志才慌。容量不是小事，它直接决定你能不能"存够时间"。

审计对接不是所有单位都强制，但提前问清楚

有些行业的场所被要求把日志对接到指定的安全监管或审计平台，有些则只要求本地留存、接受调阅即可。该不该接、接哪个标准，不能猜，要问属地主管部门。我们见过两类典型错误：一类是自作主张接了个用不上的平台，白花钱；另一类是该接的没接，被责令停业整顿。对接前把监管要求书面确认下来，再据此选型，是最稳妥的路径。审计对接的协议和字段格式，也要在方案阶段就对齐，别等上线后返工。

谁能查日志，要有严格授权

日志里全是用户行为数据，属于敏感信息，不能谁想看就看。实务上要设分级授权：日常运维只能看聚合统计，真正调阅具体某人记录要更高级别的审批，并且留痕。我们见过一个单位，前台客服都能进后台翻上网记录，这既违规也危险。建议把日志查询做成"申请-审批-查阅-留痕"的闭环，每一次具体调阅都可追溯是谁、为什么、看了什么。权限管控松一寸，风险大十分。

日志和认证记录的关联要打通

光有上网行为日志还不够，它必须能和实名身份对应上。也就是说，访问记录里的终端标识，要能回溯到某次认证对应的那个人。这要求在认证环节就把"会话ID""用户身份""分配IP"绑定记录好，后续日志才能串起来。我们处理过一次协查，客户系统有访问日志也有认证日志，但两者没有共同字段能关联，最后只能交两堆对不上的数据，被要求补正。关联设计要在建库时就考虑，事后补几乎不可能。

定期演练日志调阅流程

很多单位日志存得好好的，真要调阅时却手忙脚乱：找不到入口、字段对不上、导出的格式监管不认。我们建议每年至少演练一次"假设接到协查，两小时内交出某时段某IP对应身份及访问记录"的流程。演练能暴露存储、关联、授权各环节的断点，比纸面合规靠谱得多。日志系统不是为了应付检查存在的，它真正的价值是在你需要证明清白的那一刻，能拿得出来、对得上、说清楚。