# OneOS 生产数据库只读审计报告

审计时间：2026-07-14

## 1. 执行边界

- 连接路径：本机 → SSH 加密隧道 → 当前车辆中台 ECS → 阿里云 RDS 内网地址。
- 所有查询会话均执行 `SET SESSION TRANSACTION READ ONLY`。
- 单条查询设置 `MAX_EXECUTION_TIME=10000`（10 秒）。
- 仅执行元数据和聚合查询，未读取密码、客户姓名、手机号、银行账号等明细。
- 未执行任何 INSERT、UPDATE、DELETE、DDL 或权限变更。

## 2. 账号权限核验

当前从 `ln-bi` 部署配置取得的 RDS 账号并不是账号级只读：

- 对 `ln_asset_management`、`ry-cloud` 等多个业务库拥有 `ALL PRIVILEGES`。
- 还拥有 `PROCESS`、`REPLICATION SLAVE`、`REPLICATION CLIENT` 和 `XA_RECOVER_ADMIN` 等全局权限。

本次审计依靠会话只读保护，没有使用这些写权限。但该账号不适合作为车辆数据中台的生产同步账号，也不应继续以“只读账号”管理。

建议另建独立账号，只授予必要表的 `SELECT`；如需最小到列级，优先建立脱敏只读视图并仅授权视图。权限调整属于数据库写操作，需另行审批。

## 3. 数据质量基线

### 车辆档案

| 指标 | 结果 |
| --- | ---: |
| 有效车辆 | 1,209 |
| VIN 缺失 | 0 |
| VIN 重复组 | 0 |
| 车牌缺失 | 0 |

车辆身份基础质量良好，当前 1,209 台有效车辆均有 VIN 和车牌，标准化 VIN 后无重复。

生产库尚未给 `vehicle_info.vin` 建立索引或唯一约束。当前数据满足增加唯一索引的前置条件，但正式 DDL 前仍要确认历史/逻辑删除记录及业务兼容性。

### 客户账号

| 指标 | 结果 |
| --- | ---: |
| 有效客户 | 335 |
| `customer_info.id = sys_user.user_id` 的账号 | 0 |
| `user_type=customer` 的账号 | 0 |
| 客户编码与系统用户名匹配 | 0 |
| 联系手机号与系统账号手机号匹配 | 4 |
| 客户编码缺失 | 7 |

结论：客户账号体系尚未形成，不能通过“补角色”直接开放。4 个手机号匹配仅能作为待人工核验线索，不能自动认定为客户账号或覆盖现有用户。

两个库的字符排序规则不同：

- `customer_info.customer_code/contact_mobile`：`utf8mb4_unicode_ci`
- `sys_user.user_name/phonenumber`：`utf8mb4_0900_ai_ci`

跨库字符串直接等值 JOIN 会报 collation 冲突。正式关联应优先使用稳定 ID；补偿审计若按编码/手机号匹配，需要显式统一 collation。

### 当前客户车辆候选范围（事务事实口径）

候选条件：每车最新有效交车单已完成（`delivery_status IN (2,3)`），且该交车单不存在正式完成的还车任务（`status IN (2,3,5)`）。聚合表仅用于客户归属交叉校验，不使用可能被还车草稿提前写入的 `last_return_time` 判断生命周期。

| 指标 | 结果 |
| --- | ---: |
| 候选记录 | 639 |
| 候选车辆 | 639 |
| 可安全发布记录 | 613 |
| 应隔离记录 | 26 |

隔离原因（可能重叠）：

| 原因 | 数量 |
| --- | ---: |
| 聚合记录或客户 ID 缺失 | 17 |
| 聚合客户与合同有效客户不一致 | 9 |
| 车辆档案不可用 | 0 |
| VIN 缺失 | 0 |

因此第一版客户车辆 Scope 最多只能发布 613 条已校验关系，其余 26 条必须隔离，不能为了数量完整而放宽权限。

与旧聚合时间口径相比，事务事实口径排除 16 台：12 台已有正式还车事实、3 台最新交车尚未完成、1 台没有交车事实；另有 8 台进入事务候选但不在旧聚合候选，其中 4 台缺聚合记录并会继续 fail-closed 隔离。该差异证明 `last_delivery_time/last_return_time` 不适合作为外部授权生命周期真值。

### 租赁聚合与历史一致性

| 指标 | 结果 |
| --- | ---: |
| 有效当前聚合记录 | 831 |
| 无任何交还车时间 | 13 |
| 已交车、无还车时间 | 617 |
| 还车后再次交车 | 30 |
| 已还车 | 171 |
| 聚合表与最新历史关键字段不一致 | 325 |
| 违反“一车一条聚合记录”的车辆组 | 1 |
| 当前候选范围内重复车辆 | 0 |

325 条差异说明 `vehicle_lease_order_record_log` 不能简单取最大 ID 当作当前真值；1 组重复聚合记录也意味着现有 `selectOne(vehicle_id)` 存在运行时异常风险。正式修复前需要对异常组做明细复核，但明细不写入本报告。

## 4. 索引结论

生产库已有车牌、vehicleId 和部分状态索引，但缺少：

- `vehicle_info.vin` 索引/唯一约束；
- `vehicle_lease_order_record.customer_id` 的客户范围查询索引；
- `vehicle_lease_order_record.vehicle_id` 唯一约束；
- `vehicle_status.vehicle_id` 唯一约束；
- 合同有效客户查询所需索引。

当前数据量不大。2026-07-14 事务事实影子查询耗时约 93 ms，主交车表预估扫描 2,320 行，其余关联均使用 `eq_ref/ref`；两分钟一次的单次批量查询压力可控。后续数据增长后仍需监控执行时间，索引 DDL 必须单独审批并用 `EXPLAIN`、影子查询和回滚方案验证。

## 5. 当前可采用的权限口径

在业务确认和异常修复前，外部客户范围必须同时满足：

```text
车辆有效且 VIN 非空
聚合记录有效
最新有效交车单已完成
该交车单不存在正式完成的还车任务
客户档案有效
合同有效
聚合客户 ID 非空
合同有效客户非空
聚合客户 = COALESCE(合同丙方客户, 合同主客户)
同一车辆不存在多客户冲突
```

不满足任一条件的记录进入隔离清单，外部查询失败关闭。

## 6. 下一步

1. 创建真正的最小权限 RDS 只读账号，替换当前高权限账号。
2. 由业务人员复核 26 条隔离关系和 1 组重复聚合记录。
3. 不修改 `ln-asset-management`；将还车草稿提前写聚合字段记录为上游风险，数据中台只读取正式交还车任务状态。
4. 以 613 条可发布关系运行影子 Scope，与合同和交还车样本对账。
5. 完成客户身份入口与所有客户 API 的 Scope 强制校验后，再审批上线外部客户入口。