背景：一家初创公司的网络架构
去年年中，我参与了一家50人规模的互联网初创公司内部的合规检查准备工作。这家公司做的是在线教育平台，用户数据涉及大量未成年人信息，属于重点监管对象。当时距离主管部门的例行检查还有三周，团队才开始紧张地梳理问题。
他们的服务器部署在阿里云上，前端用Nginx做反向代理，后端是Spring Boot服务，数据库是MySQL加Redis缓存。日志统一通过Filebeat发送到ELK集群。看起来架构不算复杂，但细节上的漏洞不少。
问题一：访问日志缺失关键字段
合规要求中明确指出，必须记录用户操作的时间、IP、请求路径和操作结果。但我们发现，现有的Nginx日志格式只保留了基础的$remote_addr和$request，没有标记HTTP状态码是否为4xx或5xx，也没有区分静态资源和API接口。
更麻烦的是，很多API请求经过前端路由重写后，真实路径丢失了。比如一个删除课程的请求原本是DELETE /api/v1/course/123，但被Vue Router处理成GET /manage，导致日志里看不出敏感操作。
解决办法是调整Nginx配置，增加自定义日志格式：
log\_format compliance '$remote\_addr - $remote\_user \\[$time\_local\\] \"$request\" '\n '$status $body\_bytes\_sent \"$http\_referer\" '\n '\"$http\_user\_agent\" $request\_time';\naccess\_log /var/log/nginx/access.log compliance;同时在前端代码中对所有涉及用户数据的操作，强制使用独立的API调用，避免被SPA路由掩盖行为痕迹。
问题二：敏感操作无二次确认与留痕
平台上有个功能是管理员可以一键清空某个班级的所有学生作业。这个操作在界面上只有一个“清空”按钮，点击即执行，后台也不记录操作人ID。
这显然不符合《网络安全法》第二十一条关于重要操作审计的要求。我们临时加了弹窗确认，并在后端拦截器中注入操作日志：
@PostMapping(\"/clear-homework\")\npublic ResponseEntity clearHomework(@RequestBody ClearRequest req, HttpServletRequest request) {\n // 记录操作日志\n AuditLog log = new AuditLog();\n log.setOperator(getCurrentUser(request).getId());\n log.setAction(\"CLEAR_HOMEWORK\");\n log.setTargetClassId(req.getClassId());\n log.setTimestamp(System.currentTimeMillis());\n log.setClientIp(request.getRemoteAddr());\n auditService.save(log);\n \n homeworkService.clear(req.getClassId());\n return ResponseEntity.ok().build();\n}这类改动虽然小，但在检查时成了加分项——说明企业有主动防控意识。
问题三：未完成等保备案
公司系统已上线两年，但等保二级备案还没做。技术负责人原以为只有金融、医疗才需要，其实只要用户量超过一定规模，收集个人信息，就必须走流程。
我们紧急联系本地公安局指定的测评机构，提交材料、做漏洞扫描、整改高危项。光是SSL证书过期这一条，就被列为整改项。最后赶在检查前拿到了回执编号。
检查当天发生了什么
检查组来了两个人，一个看材料，一个直接要服务器权限。他们重点查了四件事：日志留存是否满180天、是否有异常登录记录、数据库是否加密存储、离职员工账号是否及时注销。
其中一项差点出问题：测试环境的数据库备份文件还放在公网可访问的OSS路径下，且未设密码。我们当场修改了权限策略，设置私有读写，并开启版本控制和访问日志。
最终反馈是“基本合规，限期整改三项”。比起周边几家被责令停业整顿的同行，算是顺利过关。
几点实际建议
别等到通知下来再动。平时就把访问日志打全，关键操作加审计埋点。等保不是应付，而是底线。
另外，别迷信云服务商的“默认安全”。你租了房子，不能指望物业替你关窗户。数据在哪，责任就在哪。
","seo_title":"合规检查案例分享：小公司如何应对网络审查","seo_description":"通过一个真实案例，展示一家初创公司在面对网络合规检查时遇到的问题及解决方案，涵盖日志记录、操作审计、等保备案等关键环节。","keywords":"合规检查,案例分享,网络安全,等保备案,日志审计,网络基础"}