审计
操作日志
操作日志在日志页面，回答的是这样的问题：谁加了这个资产，谁放宽了那条权限，谁停掉了某个会话。对Casvisor接口的每一次调用都可能被记下，不论来自界面还是脚本。
每条记录包含
| 字段 | 含义 |
|---|---|
| 创建时间 | 调用发生的时间 |
| 组织、用户 | 谁调用的 |
| 客户端IP、用户代理 | 从哪里、用什么调用的 |
| 方法、请求URI | HTTP调用，例如POST /api/update-permission |
| 操作 | 接口动作，例如update-permission或stop-session |
| 对象 | 请求体：发送的资产、权限或会话 |
| 响应 | 是否成功，失败时的错误 |
资产里带的密码属于请求体，所以日志里可能有密码。请据此限制谁能读数据库。
记哪些调用
默认logPostOnly = true，只记POST调用，也就是会改动东西的那些：添加、修改、删除资产和权限，开始和停止会话，登录和退出。改成false会把读取类调用也记下来，日志会大很多。对日志本身的操作从来不记。
记录会一直保留，直到你删除它。目前没有保留期限的设置；record表太大时，直接在数据库里清理。