系统出了问题,如何还原当时发生了什么?答案是日志。日志按时间顺序记录系统的关键事件,留痕机制则确保关键操作不可抵赖、有据可查。两者共同构成事后核验的技术基础。没有日志的故障排查如同盲人摸象，日志是还原现场的第一手材料。
日志:系统的完整记录
日志包含时间戳、事件类型、操作对象与结果等信息,按时间顺序写入存储。一次完整的报送流程,会在日志中留下从准备到回执的全过程记录。时间戳使用统一时钟源，保证跨系统日志可以按时间对齐分析。
日志需要覆盖正常流程与异常分支:成功的请求记录结果,失败的请求记录错误原因,重试动作单独标记,便于事后还原完整过程。异常分支的记录尤为重要，失败现场往往是问题定位的关键线索。
留痕:关键操作不可抵赖
留痕强调关键操作的完整性与不可篡改性:谁在什么时间对什么数据做了什么操作,结果如何,都要有记录可查。留痕与日志的区别在于：日志侧重记录，留痕侧重可验证的凭证。
对于报送类系统,留痕通常包括:报送内容摘要、目标地址、时间戳、回执编号与处理人标识。这些信息组合在一起,形成不可否认的操作证据。这些信息组合在一起，形成不可否认的操作证据链。
事后核验的完整流程
核验通常从回执编号或时间范围入手:先定位相关日志,再按时间线还原操作序列,最后核对报送内容与结果是否一致。先定位相关日志，再按时间线还原操作序列，最后核对内容与结果是否一致。
规范的日志结构让核验可以自动化:查询工具按条件筛选日志、按关联字段串联事件,几分钟内即可完成一次完整回溯。查询工具按条件筛选、按关联字段串联，几分钟内即可完成一次完整回溯。
日志与留痕的设计原则
设计日志体系时,需要注意几个原则:记录完整但不过度,保留关键字段;日志不可被普通用户修改,保证可信度;日志有明确的保留期限与归档策略。日志的保留期限通常由业务与合规要求决定，过期日志按策略归档或清理。
日志的查询能力同样重要:按时间、按对象、按操作类型多维度检索,才能让海量日志在需要时真正发挥作用。多维度检索能力，才能让海量日志在需要时真正发挥作用。
日志与留痕是信任的基础设施。系统可以说「我们全程留痕」,而日志与核验流程让这句话可以被验证。而日志与核验流程让这句话可以被验证，信任因此有了技术支撑。