内容摘要：上周三下午，我在后台点开一个离职同事的账号，发现他的权限还挂在系统里。距离他办完离职手续，已经过去四十七天。HR那边显示“已归档”，IT这边却没有任何动作。这事不稀奇，但每次撞见都让人后背发凉。 权限

上周三下午，权限审阅我在后台点开一个离职同事的权限审阅账号，发现他的权限审阅权限还挂在系统里。距离他办完离职手续，权限审阅已经过去四十七天。权限审阅HR那边显示“已归档”，权限审阅IT这边却没有任何动作。权限审阅这事不稀奇，权限审阅但每次撞见都让人后背发凉。权限审阅

权限这东西，权限审阅平时没人盯着。权限审阅它不像服务器宕机那样立刻报警，权限审阅也不像代码报错那样弹窗。权限审阅它安安静静地待在那里，权限审阅像一把没拔走的权限审阅钥匙。你忘了它，它也不会提醒你。直到某天有人拿它开了不该开的门。

我见过最离谱的一次，是一家三十来人的创业公司。他们的运维图省事，给所有后端开发开了生产数据库的写权限。理由很充分：方便调试。结果某个新来的小伙子，在本地跑脚本时忘了改配置，一条DELETE语句直接怼进了线上库。没加WHERE条件。三百万条用户记录，两秒钟清空。恢复花了六个小时，老板在会议室里来回踱步，拖鞋拍地的声音整层楼都听得见。

这件事之后，他们做了一轮权限审阅。但只做了那一轮。半年后我再去，权限表又乱成一锅粥。新来的、转岗的、临时借调的，每个人手里都攥着几把不该攥的钥匙。问就是“业务需要”。业务确实需要，但业务不会替你收拾烂摊子。

权限审阅的本质，不是技术问题。它更像大扫除。你知道角落里堆着东西，但总觉得“以后可能用得上”。于是越堆越多，直到连下脚的地方都没有。区别在于，杂物不伤人，权限会。

我自己的做法很土。每季度拉一张表：所有账号、所有角色、所有权限项。然后逐个问三个问题——这个人还在职吗？这个角色还需要这个权限吗？这个权限最近九十天被使用过吗？三个问题里有两个答案是“否”，直接回收。不商量。

有人觉得这样太粗暴。万一人家下周要用呢？那就下周再申请。申请流程走一遍，至少能留下记录。总比权限静默地躺在那里、无人知晓要好。我宁愿被骂“流程繁琐”，也不想半夜接到电话说“数据库被删了”。

还有个细节值得说。很多团队只审阅“人”的权限，忘了“服务账号”。那些跑定时任务的、调API的、做数据同步的账号，往往权限大得吓人，密码却写在某个config文件里，三年没换过。离职的人可能知道这个密码，外包的人可能知道，甚至某个已经下线的旧系统还留着后门。这些账号不审，等于白审。

上个月我帮一个朋友看他们公司的权限配置。发现一个已经停用的测试账号，居然还挂着管理员角色。密码是admin123。我问他这个账号干嘛的，他想了半天说：“好像是前年做压力测试时建的。”前年。压力测试。管理员。这三个词放在一起，够写一篇事故报告了。

权限审阅不需要多高深的技术。它需要的是耐心，以及一点“不信任”的态度。不信任“应该没问题”，不信任“以后再说”，不信任“就这一次”。每次审阅，都是在跟过去的懒惰和侥幸做切割。切得干净，系统才干净。

我现在养成了一个习惯。每次有人离职，当天就冻结账号。不是禁用，是冻结。禁用还能解，冻结得走流程。然后每周五下午，花二十分钟扫一遍权限变更日志。看看这周谁被加了权限，谁被删了权限，谁的角色被改了。二十分钟换一个安稳周末，划算。

说到底，权限审阅不是一劳永逸的事。它像刷牙，每天做不觉得有什么，停一周试试。牙龈出血是轻的，牙掉了才真麻烦。