很多酒店对日志的态度是能存就存，直到公安上门调某段时间的上网记录，才发现要么没存、要么存了但字段不全、要么存的地方找不到了。日志留存不是技术细节，是酒店WIFI实名认证上网系统合规的底线，平时没人看，出事时它就是你能不能说得清的唯一证据。

到底要留哪些字段

审计要的不是一堆看不懂的连接记录，而是能把人和行为对上的关键信息：谁、什么时间、用什么设备、连的哪个热点、上了哪些网、什么时候下线。缺了设备标识，出问题追不到终端；缺了时间，对不上监控；缺了身份关联，记录就是一串匿名流量。字段清单要对照当地公安的要求逐条核，而不是凭感觉留。我们见过最离谱的，系统只存了 IP 和时长，问到是谁，答不上来，这种留存等于没存。

留存时长是硬指标

留存多久有明文下限，这个不能讨价还价。问题是很多酒店把日志和业务数据库混在一起，业务库为了性能定期清理，顺手把审计日志也清了。正确做法是审计日志独立存储、独立留存周期，和业务数据生命周期解耦。清理策略只能往长了留余量，不能为了省存储提前删。把留存周期写死在配置里并加保护，比靠人记着别删可靠得多。

日志完整性比漂亮更重要

有些系统为了界面好看，只展示成功认证的记录，把认证失败、异常断线的丢在一边。但审计恰恰关心异常：谁连了又断、谁反复认证失败、哪个设备频繁换人。这些异常日志如果没留，等于把最有价值的线索删了。留存设计要覆盖全量事件，成功和失败都进库，展示时再筛选。宁可库里多存点没人看的，也别在要的时候发现那部分没存。

存储本身也要防篡改

日志存下来还得保证没被改过。如果存储权限没管好，运维随手就能删几条、改个时间，审计调出来的记录就不可信了。做法是日志写后只读、访问留痕、关键操作双人复核，存储层尽量用只追加不容改的机制。酒店WIFI实名认证上网系统的日志，价值在于它的真实和完整，一旦能被随意改动，合规意义就归零了。

定期演练一次调取

留存做得好不好，不能等公安来才验证。建议每季度自己模拟一次调证：指定某店某时段某设备，看能不能在要求时间内拉出完整链条。演练常暴露的问题有三类，时间对不上、字段缺、存储路径忘了。这些问题平时发现改起来容易，真到检查时发现就是事故。把演练写进运维例行动作，比事后补救踏实得多。

日志和监控要对得上

光有上网日志还不够，它得和酒店监控录像对得上时间，才能还原某人某时在某地上了什么网。如果日志时间和监控差几个小时，追溯链就断了。所以校时这事前面提过，这里再强调：所有取证相关设备必须统一时钟源。审计调证时，时间对不上是运维最尴尬也最致命的软肋。

人员变动别把日志弄丢

酒店运维人员流动大，交接时如果只交账号密码、不交日志存放位置和清理策略，新人不小心清了库或改了周期，留存底线就破了。交接清单里要把日志路径、保留时长、备份位置、调证流程写清楚。酒店WIFI实名认证上网系统的合规资产，靠文档和痕迹传承，不靠某个人记在脑子里。

留存策略要可解释

为什么留这么久、为什么这么存，要能一句话说清依据。含糊的公司规定在审计面前站不住。把留存时长对应到具体法规要求，写进制度文件，调证时直接拿出来。可解释性不是形式主义，是出事时你能自证清白的底气。很多酒店栽在说不清为什么只留了这么点。

日志访问要留痕可查

谁调过日志、调的哪段、什么目的，都要记一笔。内部排查也好、配合审计也好，访问本身也是敏感操作。不留痕，日志被谁看了、改了都无从知晓，合规意义大打折扣。访问留痕和日志防篡改是一体两面，一个管能不能改，一个管谁看过，两个都到位才算闭环。

日志格式要前后一致

多门店多版本设备，日志格式容易漂移，今天这个字段明天那个字段，归集后查询要对齐很痛苦。要有统一的日志 schema，新增字段走版本而不是各店自创。格式一致，中心才能稳定解析，调证时才能跨店比对。schema 这层看着琐碎，却是归集质量的地基，前期不定，后期每接一家店都返工。

过期清理要可审计

留存到期要清理，但清理本身也要留记录：什么时候清的、清了哪段、依据哪条策略。随意删和按时删是两回事，前者在审计眼里和篡改没区别。把清理动作写进日志并保护，证明你是按规矩删而不是为了藏。酒店WIFI实名认证上网系统的日志生命周期，从写入到销毁都要留痕，才算闭环。