运营商组网要加日志审计，云端按会话归属，场所不必再建日志服务器

运营商把组网做完了，光猫装好了，线路通了，WiFi也能上了——但日志审计这一块，没有做。自己做场所上网日志方案，过去讨论最多的是「买多大的存储、怎么分层」。这套话术的前提是日志存在本地设备上。云日审把留存放到云端之后，问题变了：不再是给门店配硬盘，而是把日志按会话归属到身份，并确保它在云端可查、可导、可对得上。

字段：先定最小可用集

上网日志的最小字段集应覆盖：手机号或证件号、终端 MAC、IP、上线时间、访问 URL、上下行流量。这六项是定位到人、还原行为的基本盘，缺一项就可能在调取时断链。

还有一个字段不是字段表里的一列，但比哪一列都关键：会话 ID。认证通过时生成会话 ID，后续行为记录带同一个 ID 落库——认证身份和行为日志之间的关联就靠它。判断一个方案能不能扛检查，硬指标只有一条：输入手机号，能不能直接拉出该用户全时段的完整行为清单。做不到，说明链路在中间断了。

关联：认证与行为必须同源

认证系统和审计系统分离的老架构，问题不在性能，在两套数据没有底层关联。工程上的解法是让认证通过的动作即建立会话表，后续行为日志按会话 ID 归属到认证身份，而不是事后用时间加 IP 去「猜」是谁。事后关联的做法，在 NAT 出口、多人共享 IP 的场景里必然对不上人。

留存：云端滚动，不少于 180 天

云日审的日志在云端滚动留存不少于 180 天。周期以属地公安机关要求为准，属地要求更长的按属地配置。工程上要盯两件事：其一，留存窗口内的任意一天都要能调出原始记录，不能只有汇总统计——聚合数据无法按账号还原行为清单，应付不了溯源要求；其二，各类日志（认证记录、行为日志、系统操作日志）统一 NTP 授时，时间对不齐，留存再久在溯源时也是对不上的数据。

部署：场所侧不留服务器

这是云日审和传统方案最大的结构差异：场所本地不部署日志服务器，运营商侧也不必为每个场所单建一套审计系统。门店侧只保留插件实例，采集与上报在出口完成，留存与检索在云端完成。对连锁客户，多门店日志天然汇聚在同一平台，报表按账号、门店、时段维度导出，不用跨系统拼数据。

方案侧的两条路径

运营商组网（光猫是运营商资产）：光猫不具备实名认证与日志留存能力，由云日审以插件形态对接光猫完成采集与云端留存，不换光猫、不重新布线。
自建网络：智慧光迅「通密一体」方案 = 全光网络底座 + 音视频融合引擎 + 网络安全护盾，由梦想网关承担本机留存与闭环检索，多门店场景由 EaaS 云管做集中汇聚与报表导出。

给做方案设计的同行一个提醒：先分清网络是谁建的，再谈留存怎么做。这两条路径的设备清单、工程量、责任界面各不相同，混着讲会让客户在验收时找不到对接人。

FAQ

Q1：上网日志至少要包含哪些字段？

A1：手机号或证件号、终端 MAC、IP、上线时间、访问 URL、上下行流量，并以会话 ID 作为认证身份与行为记录的关联钥匙。

Q2：日志只存聚合统计可以吗？

A2：不建议。聚合数据无法按账号还原行为清单，不满足溯源要求，留存窗口内应保留可还原的明细。

Q3：场所本地还需要配日志服务器吗？

A3：采用云日审时不需要。日志在云端按会话归属并滚动留存不少于 180 天，检索时输入手机号或时间段即可输出完整行为清单。