Аудит и журналы

Кто сделал что и с каким результатом без утечки секретов.

Для действия нужны actor, предмет, тип, время, correlation/operation ID и результат. Проверенный actor берется из identity, не доверяется телу запроса. Полезность журнала определяется возможностью восстановить переход, а не числом строк.

Feature: Проверенный actor
  Scenario: Проверенный actor
    Given клиент передает actor чужого пользователя
    When сервер выполняет owner-scoped чтение
    Then actor заменяется субъектом валидированного токена
    And подмена не дает расширенных прав

Не записываются private keys, bearer токены, passwords, полные документы KYC. Технический trace не заменяет юридически требуемый реестр; outbox не заменяет журнал решения сотрудника. Retention и право доступа согласуются с юридической моделью и политикой ИБ, а не объявляются произвольным сроком.

При инциденте фиксируют время, revision/digest, маршруты, классы ошибок, воздействие и принятые действия. Использование production logs не разрешает финансовые команды для «проверки».

Источник: audit client/use-cases, request context, ledger interceptor. Privacy.