第一刀：运维白名单。

陈毅在后台把所有“高危权限”列成清单：紧急补丁标签、队列优先级、审批链跳过、配置热更新、日志清洗、回滚触发……这些权限以前散落在“方便运维”的理由里，现在全部收拢到OPS-LOCK-01里，统一改成——默认无，逐次申请，时限自动回收。

更关键的是：申请必须走公共接口，生成ops_req_id，并自动公开摘要：谁申请、为什么、影响范围、时限多久、谁批准。

“公开会不会太刺激？”清远信息中心主任有点犹豫。

林远没绕弯：“刺激才对。刺激意味着有人不敢乱伸手。你们怕公开，就永远只能靠人情维稳。”

第二刀：密钥托管与双人交接。

KEY-CUST-01直接把“证书与密钥”的管理，从驻场运维挪到省信息处与银行合规共同托管。任何涉及签发、回滚、应急开关的密钥动作，都要两把钥匙：一把在省里，一把在银行合规。缺一把，操作无法完成，日志自动落地不可改。

何经理听到这条，终于笑了：“这才像风控。”

第三刀：更新包签名。

BUILD-SIGN-01上线后，任何更新（不管是代码、规则、补丁模板、队列策略），都必须变成一个“可验证的包”——带版本号、变更单、影响评估、回滚策略，并由托管密钥签名。没有签名的更新包，系统直接拒收，就算运维进了服务器也改不了“生效链”。

陈毅说得更直白：“以后不是谁能登录服务器谁说了算，是谁拿得到签名谁说了算。”

第四刀：应急通道玻璃柜。

BREAK-GLASS-01把“应急权限”做成真正的玻璃柜：可以砸，但砸一次就全网可见。触发应急必须填“事故编号、风险说明、预计时长、恢复计划”，并且自动通知审计旁听、银行合规、住建联络员三方。应急结束后必须出复盘，否则触发干扰源权重。

“你们这是把应急也制度化了。”佛山信息中心主任感叹。