3. 证据类型与采集范围
在关键控制证据采集与自动留痕的实践中，很多团队最容易犯的错误不是“采不到”，而是“采太多”或“采错对象”。证据类型决定了采集方式、存储策略、留存周期与合规边界。本节将证据划分为五类核心形态，并给出每类证据的采集范围与边界判定方法，帮助你在设计自动留痕方案时做到“该采的必采、不该采的不碰”。
一、核心原理：证据的“三性”与分类逻辑
关键控制证据之所以能成为证据，必须同时满足三个属性：关联性（能证明某个控制点被执行或未被执行）、完整性（能还原操作发生的时间、主体、对象与结果）、可采信性（未被篡改、来源可追溯）。基于这“三性”，我们把证据按载体形态分为五类，每类对应不同的采集技术栈与边界规则。
分类的逻辑不是按“文件格式”分，而是按证据的生成方式与可篡改性分。文本与数据库记录属于“结构化或半结构化数据”，易被修改，需配合哈希与时间戳；日志属于“系统自动生成”，可信度较高但易被覆盖；截图与音视频属于“视觉/听觉快照”，直观但体积大、易被质疑；数据库记录则介于日志与业务数据之间，需关注事务一致性。
二、方法流程：五类证据的采集范围与边界判定
采集范围不是“越多越好”，而是围绕控制点画圈。以下给出每类证据的采集清单与边界规则。
| 证据类型 | 典型采集对象 | 采集边界（不采什么） | 留存建议 |
|---|---|---|---|
| 文本证据 | 审批意见、工单描述、变更说明、邮件正文 | 不采集与业务无关的私人聊天、非工作邮件 | ≥6个月，关键控制≥1年 |
| 日志证据 | 登录日志、操作日志、API调用日志、审计日志 | 不采集含明文密码、密钥的日志字段 | ≥6个月，安全类≥1年 |
| 截图证据 | 配置界面、审批结果页、告警详情页 | 不截取含个人隐私、客户敏感数据的区域 | ≥3个月，配合哈希存证 |
| 音视频证据 | 关键操作录屏、远程授权通话录音 | 不录制非授权场景、不录制员工私人空间 | ≥3个月，需告知并授权 |
| 数据库记录 | 事务日志、变更前后镜像、审计表 | 不直接采集生产库全量数据，只采变更相关 | ≥1年，配合binlog归档 |
边界判定的通用原则是：与关键控制点直接相关、能证明执行主体与时间、不侵犯无关隐私。当三者冲突时，优先保证合规性，再通过脱敏或摘要方式保留证据价值。
三、案例/场景：一次数据库变更的自动留痕
某金融系统要求“生产数据库结构变更必须双人复核”。自动留痕方案如下：
- 文本证据：采集变更工单中的审批意见与复核人签名。
- 日志证据：采集数据库审计日志中的DDL语句、执行账号、时间戳。
- 截图证据：自动截取变更前后表结构对比界面。
- 数据库记录：通过binlog解析出变更前后的表定义，存入审计表。
- 音视频证据：对高风险变更开启录屏，记录操作全过程。
采集边界上，明确不采集业务表中的客户数据行，只采集表结构元数据。这样既满足审计要求，又避免数据泄露风险。
# 示例：从binlog中提取DDL变更记录
mysqlbinlog --base64-output=DECODE-ROWS \
--start-datetime="2025-01-15 09:00:00" \
--stop-datetime="2025-01-15 10:00:00" \
mysql-bin.000123 | grep -A 5 "ALTER TABLE"
提示：自动留痕工具应支持“证据链打包”，将同一控制点的五类证据按时间线关联，生成唯一证据ID，便于后续审计追溯。
四、误区/复盘：常见采集边界错误
- 误区一：全量采集日志。把调试日志、访问日志全部留存，导致存储成本飙升且审计时噪音过大。应只采集与关键控制相关的日志级别与字段。
- 误区二：截图代替日志。截图易被PS质疑，且无法证明时间连续性。截图应作为辅助证据，核心证据仍以日志和数据库记录为主。
- 误区三：音视频无授权采集。未经告知的录屏录音在合规审计中可能被认定为无效甚至违规。必须建立授权机制与告知流程。
- 误区四：数据库记录直接查生产库。高频查询会影响生产性能，且可能读到未提交数据。应通过binlog、审计表或只读从库采集。
警告：证据采集范围一旦确定，应形成书面《证据采集清单》并纳入变更管理。任何扩大采集范围的行为都需重新评估隐私与合规影响。
复盘时建议用“控制点—证据类型—采集边界”三维矩阵逐项核对，确保每个关键控制点至少有两类以上证据交叉验证，同时不越界采集无关数据。只有边界清晰，自动留痕才能真正服务于审计与合规，而不是制造新的风险。