企业官网建设流程全解析

上周三下午，行政部的小周端着杯子过来，压低声音问我：“我昨天在知识库里问了句‘哺乳假怎么请’，这个……别人能看到吗？”

我当时第一反应是“不会吧”，第二反应是“我其实不知道”。这套本地知识库是我帮部门搭的，模型、检索、页面都在一台内网机器上，大家用了一个多月，反馈挺好。但“问过的话去了哪”，我从来没认真查过。

对话核心：先别安慰，先去看

我跟小周说：“你先别担心，我现在就去看，看完给你准话。”

回到座位，我按调用链一层层翻：

1. 网页前端：浏览器本地存了最近十条历史，只在她自己电脑上。
2. 问答服务：默认开着调试日志，每一条问题原文、检索到的段落、模型回答全部落盘，按天一个文件，从上线那天起一个没删。
3. 机器本身：那个日志目录，部门里有三个人有远程登录权限。

也就是说，答案是“技术上能”。没人去翻，不代表翻不到。一个多月的日志里，有人问请假、有人问报销标准，还有人把客户名字直接打进了问题里。

我回去跟小周说了实话：“能看到的人很少，但确实存着。我今天把它改掉，改完让你来验。”

我们改了三件事

一、日志分级。调试日志只在排查时临时打开，平时只记“时间、耗时、命中了哪几份文件、有没有报错”，不记问题原文和回答全文。排查要原文？临时开、开完关，并在群里说一声。

二、留存期限。运行日志保留七天，到期自动清理。之前那一个多月的旧日志，跟部门负责人确认后整体删除，删前没有另外备份。

三、脱敏兜底。万一调试时必须看原文，先过一道替换：手机号、身份证号、邮箱、长串数字统一换成占位符。规则很土，用正则写的，但能挡住大部分“手滑打进去”的情况。

怎么验收

我请小周和另一位同事一起验，用的都是“像真的”问题：

• 小周再问一次请假问题，我当着她的面打开日志目录：只看到时间和“命中《考勤制度》”，看不到她问了什么。
• 同事故意在问题里带一个假手机号，开启调试模式后看日志，号码已变成占位符。
• 把系统时间往后拨八天，确认七天前的日志被清掉。
• 最后检查目录权限：只保留维护人一个账号可读。

第一次验收没过：调试模式下的回答全文没走脱敏，只脱了问题。补上之后第二轮全过。

一点体会

本地部署常被当成“数据不出门所以安全”。可数据不出门，不等于不被不该看的人看到。知识库越好用，大家越敢问真问题，日志里的东西就越敏感。上线清单里，“日志记什么、留多久、谁能看”这三行，值得和“模型选哪个”放在同一页。

小周后来说了句挺实在的话：“知道它不记我问了啥，我才敢多问。”

你们的本地知识库或内部助手，问答日志是怎么处理的？有没有踩过类似的坑，评论区说说你们的做法。

图：第1、2张为 CC0 公有领域（Thomas Lefebvre / Unsplash；Thomas Kvistholt / Unsplash，经 Wikimedia Commons）；图：Annatsach / Wikimedia Commons / CC BY-SA 4.0