早上九点二十，野月的会议室还没散掉昨晚封存设备留下的冷意。
长桌上铺着三样东西：一份打印出来的高风险权限清单，一台接着投影的后台电脑，还有周鹏昨夜导出的权限申请截图。截图里，YY-PERM-225-078的审批流停在「系统自动通过」，申请理由只有五个字——活动数据核对。下面没有期限，没有导出范围，也没有关闭节点。
林听晚把纸推到桌中央。
「这不是审批。」她说，「这是给风险开门，门口贴了张『请自觉』。」
技术负责人周鹏一夜没睡，眼下发青。他没替系统辩解，只把电脑切到后台配置页：「历史上为活动响应快，运营临时权限包走简化流。谁申请，系统按岗位匹配，符合自动开。导出量有日志，但不拦截；期限默认三十天，可续期；关闭靠人事离职或部门提单。」
温岚坐在林听晚右侧，手里的红笔已经在清单上圈了七八处。她不像周鹏那样急着解释技术限制，只问最朴素的问题：「谁知道三十天到了以后有没有人还在用？」
周鹏沉默两秒：「理论上系统能查。」
「我问的是谁知道。」温岚把纸页翻过去，「能查和有人负责查，是两件事。」
梁舒坐在靠门的位置。她的工牌还挂在脖子上，基础办公权限已经恢复，高风险权限仍暂停。昨晚调查口径改掉之后，内部群里发了统一通知，没有她的名字，只有INC-229和退库设备异常使用。可她走进会议室时，还是不自觉地看了一眼门外，确认没人等着听她解释。
林听晚看见了，却没有把目光停太久。
她打开白板笔，在屏幕旁写下五个词：申请理由、审批人、期限、导出范围、关闭节点。
「权限制度先不写漂亮话。」她说，「我们只看这五件事有没有人、时间、证据。以后任何高风险权限，申请须写具体理由，不能写『业务需要』『临时处理』。审批人不能只有直属上级，涉及客户数据、财务数据、投放后台的，须加数据或项目负责人。期限不能默认三十天，按任务填，最长七天，超七天重申请。导出范围要选字段、表名、时间区间。关闭节点要提前定，不是等人想起。」
周鹏听到「最长七天」时，眉头皱起来：「林总监，这样会卡业务。大促期间活动复盘可能跨两周，运营每天导数据。每七天续一次，审批人被打爆。」
「那就证明这权限不是临时权限。」林听晚说，「应建成固定岗位权限，限定字段，定期复核。临时权限不能伪装成长期岗位。」
周鹏想了想，又说：「实现也有成本。申请理由和期限字段现在能加，导出范围需对接数据平台，审批截图留存需接对象存储，到期提醒要改任务队列。技术这周还在做融资尽调数据室，安全只有两人。」
会议室安静一瞬。
效率和安全冲突不是口号，是周鹏桌上排满的工单，是客户群催出的日报，是运营凌晨两点发的「先开一下我明天补」。林听晚没把这些抹掉。
她问：「现在后台能最快改什么？」
周鹏把配置页下拉：「权限申请表今天可加字段。理由、期限、审批人、关闭节点都能落库。导出范围若先不做字段级联动，可先做文本加附件，要求申请人上传导出需求截图。到期提醒可先用定时任务扫权限表，提前一天给申请人、审批人和安全群发提醒。真正自动关闭要谨慎，怕误关线上流程，可先改成到期转待确认。」
温岚把红笔停：「待确认不够。到期后若没人确认，责任会悬空。」
周鹏有点急：「自动关会出事故。比如投放账户当天结算，权限一断，数据回传失败，客户就炸了。」
梁舒开口：「能不能分级？不是所有权限都一样。像我这种能导客户明细的，和普通看板查看，不该用一套规则。高风险的先严一点，普通的后面再改。」
林听晚点头：「这就是今天边界。」
她在白板下方又写三类：客户明细导出、财务结算后台、投放账户管理。
「第一批只动这三类。」她说，「所有能导出客户联系人、手机号、合同金额、回款节点的权限，所有能看付款账户和结算明细的权限，所有能改预算、投放主体、素材审核状态的权限，先进试行。别一上来把全公司拖进流程泥潭。规则先抓会伤人的地方。」
温岚把那句「会伤人的地方」记在了纸上，然后抬头补充：「制度文本里别写成『为防止员工违规』。写『为避免账号、设备、岗位变动导致责任误归属，保护业务数据与员工权责边界』。措辞重要，制度不是拿来吓人。」
梁舒低头，睫毛动一下。
周鹏松口气：「若只做三类，今天能上线第一版。字段包括申请理由、审批人、开始时间、结束时间、导出范围说明、附件、关闭节点、复核状态。审批截图我可每次流转完成后自动生成PDF，带申请单号、申请人、审批人、时间戳和字段快照，存权限审计目录。」「截图不能只存在系统里，同步到项目证据包，权限事件编号跟INC-229关联。」林听晚说。
「可以。」周鹏敲了几下键盘，「我给每张审批截图加哈希值，页面显示生成时间和文件编号。导出时一起打包。」
投影后台很快多出一行灰色测试字段。原先简陋的「申请权限包」下面，出现了几个新框：申请理由、风险类型、导出范围、有效期至、关闭节点。有效期至后面还没有日历控件，只是一个普通日期输入框，样式粗糙，边距也不齐。
林听晚盯着那几个框看了几秒。
很多改变一开始都不好看。它不像发布会物料能被修成精致版式，也不像融资PPT能在首页放漂亮愿景。但梁舒看着那行「有效期至」，眼神慢慢定住了。
她小声说：「若之前有这个字段，我的权限到期后，至少有人收到提醒。」
没人接话。
这话不是控诉，却比控诉更具体。因为具体，无法躲开。
陈砚秋不在这场小会里。他早上签完整改授权后去了投资人电话会。林听晚没等老板坐主位宣布「重视安全」。她需要的是今天下班前，系统里真多一列，到期列表真出现第一批名字。
温岚把高风险权限清单递给梁舒：「你帮我们从使用人角度看一遍，哪些申请理由写了等于没写，哪些导出范围业务能说清，哪些是大家习惯性偷懒。」
梁舒怔一下：「我可以看吗？」
「你是使用人，不是嫌疑人。」温岚说，「制度若只让管理层和技术写，最后会变成使用人看不懂、审批人懒得看、出事谁都说不清。」
梁舒接纸。她先在「活动数据核对」旁边写下「需注明活动名称、客户批次、核对字段」，又在「临时导出」旁边划掉，改成「导出YY-042客户回款节点，用于4月对账复核」。字迹一开始有点紧，写到第三处，笔锋顺了。
周鹏那边开始建第一批试行名单。他把权限表按风险类型筛出，客户明细导出十三，财务结算后台五，投放账户管理八。每一项后面补上「有效期至」。有些权限早该结束，日期栏空，系统标红；有些还在项目期内，审批人需今天补确认。
十点四十七分，安全群跳出第一条系统消息：权限到期提醒测试。YY-PERM-225-078，风险类型：客户明细导出；申请人：梁舒；当前状态：保护性暂停；有效期至：2026-04-30；关闭节点：INC-229调查结论出具后复核；审批截图：PERM-SNAP-225-078-01.pdf。
周鹏把截图点开。PDF第一页是新的审批流快照，右上角有生成时间，下面列申请理由、审批人、导出范围和关闭节点。因为这是补录，申请理由旁多一行备注：历史申请字段缺失，本次按整改要求补全。再往下，是昨晚权限暂停通知和今天恢复基础权限记录。
梁舒盯着那张图，喉咙动一下。
她曾经最害怕的，是所有事情只在别人嘴里成立。谁说她有权限，谁说她导出了，谁说她应解释，她就被推着走。现在，那些话被拆成字段，放进一张不能随意改动的截图里。缺失的地方不再装作没发生，而是明明白白标着「历史申请字段缺失」。
林听晚看完，指备注栏：「这行保留。不要为让流程漂亮，把旧缺口擦掉。」
周鹏点头。温岚又翻一页制度草稿：「审批人责任也要写进去。审批不是点同意，审批人要确认申请理由和范围匹配。以后出问题，不是只找使用人。」
「加上。」林听晚说。
梁舒把修改后的清单递回，纸角被她压平整：「还有一个地方。导出后的文件放哪里，也应写。现在很多人导到本地桌面，改完名发群里。权限只管打开，不管文件流向，还是会断。」
林听晚看她一眼，眼底有很淡笑意：「这条进第二批，数据留存和本地下载管控。今天先把门装上，明天再查门后有没有窗。」
梁舒也笑一下，很短，却是真的。
中午前，第一版《高风险权限试行规则》发进管理群。只有两页，后附三张后台截图。陈砚秋在电话会间隙回复「同意执行」，随后补一句：「资源优先级按林总监确认。」
周鹏见那句，立刻把融资尽调数据室两个非紧急优化往后拖一天。
下午一点，第一批二十六高风险权限全部进入到期提醒队列。系统列表里，原本空白的「有效期至」被一格格填上，红、黄、绿挤在一起，像一张开始显影的底片。
林听晚把页面截图存到整改包，文件名写成：PERM-HIGHRISK-BATCH01-EXPIRY-。
温岚站在她旁，等她保存完，才低声说：「权限这块算有抓手了。」
林听晚合上电脑：「只是第一块。」
温岚看向会议室外。玻璃隔断后，几个项目经理正围着白板讨论客户会，桌上散着会议纪要模板，最上面一栏写「待确认事项」，下面空着。
她把那张模板拿起来，指尖点在空白处。
「别只盯后台。」温岚说，「权限之外，会议纪要也会决定责任归属。」