第四十九章：取证进场(2/4)

首发：~第四十九章：取证进场

---

第二步：封存代码仓与编排系统。

周负责人让供应商打开代码仓管理平台，要求提供RouteHealthGuardian组件的仓库只读访问。供应商合规负责人再次强调商业秘密，周负责人仍是那句话：“封闭环境可谈，证据副本必须保全。”

取证员把代码仓镜像到法证介质，生成快照哈希。快照完成后，周负责人说：“现在我们做两件事：一，看关键函数；二，看关键提交历史。先从关键函数开始。”

技术取证员在封闭环境中打开仓库，搜索关键词：GeoFence、Freeze、Controller、AUTO_RECOVERY、APAC、PriorityBoost、ProbeWindow、TriggerSensitivity。屏幕上连续跳出匹配行，像一串密集的心电图。

周负责人指着其中一个文件名：“recovery_actions.py？”

取证员打开。文件顶部注释写得很直白：

“当区域延迟劣化等级≥L3，执行自动恢复策略以保证投递成功。”

下面是一段函数：

*detect_latency_degradation(level)

*iflevel>=L3:

*disable_geo_fence()

*boost_fallback_priority(region="APAC")

*reduce_probe_window(minutes=5)

*set_trigger_sensitivity("High")

“disable_geo_fence()”“boost_fallback_priority(APAC)”“reduce_probe_window(5)”——这三行像三把刀，把供应商之前所有“模板告知”“紧急保障”“误触发”剥成了代码事实：它不是“健康检查”，它是“自动执行**险策略”。并且执行顺序与转运当夜的关键点高度一致：缩短窗口、高敏感、APAC优先级提升。

供应商技术负责人想说话，周负责人先按住：“先别解释。我们要看这段代码是否存在审批引用检查、禁变窗口检查、冻结检查。”

取证员往下滚。代码里有一个“approval_ref”参数，但默认值为None，并且有这样一行：

“ifapproval_refisNone:log_warning('ApprovalRefmissing');proceed_if_auto_recovery_enabled()”

也就是说，审批引用缺失并不会阻止动作，只会写一条warning，然后继续执行，只要“自动恢复开关”是开启的。

周负责人抬眼看供应商合规负责人：“你们的自动恢复开关在哪里？谁能开？什么时候开的？医疗客户默认开还是默认关？”

合规负责人声音发紧：“默认是开，用于提升可靠性。”

周负责人没有提高音量，却更冷：“医疗关键系统默认开一个能关围栏、改优先级、缩短窗口的自动恢复。你们认为这叫可靠性？”

供应商合规负责人说：“这是行业通行做法。”

第三方平台协查联系人立即补了一句：“平台建议此类**险动作必须受控，至少需要审批引用与禁变窗口约束。平台提供强制配置能力，租户未启用。”

周负责人点头：“记录为‘可控未启用’。”

可控未启用，等于选择。

随后，周负责人让取证员继续检索“Freeze.ControlWrite”。取证员在另一个模块里找到了一段代码，功能是“在恢复动作受阻时尝试调整控制权”：

“iffreeze_blocks_action:

try_refresh_token(high_scope=True)

try_change_controller_to_tenant_admin()”

这段逻辑几乎就是昨天下午两次撬锁尝试的代码对应。也就是说，“撬锁”不是误触发按钮，它是写进恢复策略里的“第二条路”：第一条路关围栏、提APAC、缩窗口；如果冻结挡住了，就尝试刷新高权限token，再尝试把冻结控制权改回租户。

这不是慌乱的误操作，这是设计。

设计意味着预谋：他们预想过医院会冻结，预想过冻结会挡住动作，于是写了绕行逻辑。只不过这次被平台降级拦住，没成功。

周负责人对法证记录员说：“标记：存在绕过冻结的逻辑路径，属于严重安全风险。并且与平台拒绝事件时间戳一致，形成闭环。”

监管人员的笔尖停了一下，写下“严重安全风险”五个字。写下去，性质就变了。

---

第三步：封存日志与审计库。

周负责人要求供应商提供编排系统（Cron/作业平台）的任务定义导出，包括触发条件、参数、执行身份。供应商技术负责人打开编排系统，RouteHealthGuardian的任务赫然列在列表里：每分钟一次健康检查，触发阈值可配置，动作开关可配置。关键配置项里有一条：

“AutoRecoveryEnabled=true

MedicalTenantOverride=true

EmergencyAssuranceMode=Enabled

FallbackRegion=APAC

ProbeWindow=5(whendegradation>=L2)”

“MedicalTenantOverride=true”。

林昼看到这个字段，手指轻轻收紧。他意识到一个更尖锐的问题：这套**险自动恢复并不是对所有租户一样，它有“医疗租户覆盖模式”。覆盖意味着特殊，特殊意味着人为选择——有人把医疗租户放进了一个“更激进”的自动恢复模式，理由可能是“可靠性”，但结果是跨区、缩窗口、高敏感，等于把风险拉得更近。

周负责人问：“MedicalTenantOverride是谁配置的？什么时候配置的？有哪些租户ID在列表里？”