同步正常，偏差毫秒级。以后任何“系统时钟不准”的说辞都难以成立。
接着，周负责人要求导出itops_superadmin账号的授权范围。页面上赫然列出多项敏感权限：GeoFence.Write、Freeze.ControlWrite、RoutingPolicy.Admin、Token.IssueHighScope。旁边的“失效时间”一栏空着，写着“长期”。
周负责人抬眼看供应商合规负责人：“长期权限，为什么不设失效？季度复审在哪里？”
合规负责人试图解释：“历史遗留，之前用于应急保障。”
周负责人没接话，只对技术取证员说：“截图固化，导出原始记录，计算哈希。”
很快，权限记录导出成JSON与CSV两份，哈希写进笔录。每一条“长期”都从文字变成证据。
随后，周负责人调出token签发日志，定位到第三方平台提示的“冻结启用前一小时异常刷新”。日志里果然存在：同一来源IP两分钟内三次签发高权限token，scope一致，ReasonCode为空，ApprovalRef为空，签发账号显示为itops_superadmin下的一个子凭据。
周负责人问：“这个子凭据是谁创建的？创建时间？审批引用？用途？”
供应商技术负责人额头渗出细汗：“可能是自动化组件使用的服务凭据。”
“可能”不被取证接受。周负责人语气仍稳：“不是可能。导出该凭据的创建/修改/使用轨迹。我们要看到创建者账号与时间戳，看到是否存在审批引用。若审批引用为空，记为权限控制缺陷。”
导出开始。系统里跳出一个字段：CredentialCreator=itil_admin，创建时间为凌晨04:03，备注写着“tokenrefreshfix”。
凌晨04:03。
林昼的呼吸停了一瞬。04:03在那张补录申请单04:12之前。补录发生前，先补了一个“tokenrefreshfix”的凭据。这个顺序不像修复，更像铺路：先把钥匙磨好，再写申请单，再说“误触发”。
周负责人显然也捕捉到了这个顺序，他没有做结论，只说：“记录。此凭据创建时间在补录单据前，存在关联嫌疑，
本章未完，请点击下一页继续阅读！