#活动日志与流量

活动日志记录“谁在何时对哪个对象做了什么、结果如何”；流量回答“当前 Network 的数据使用情况”。二者名称、导航与页内标题保持一致。

#调查步骤

1. 用准确时间和时区界定窗口。
2. 确认 Organization、Network 与操作者账号。
3. 按稳定 ID 关联 Device、Node、Service、授权或入口。
4. 对照客户端版本、ns info 和目标主机日志。
5. 区分控制面变更、配置投影与实际数据流。

#重点事件

登录/退出、多账号切换、Space 切换、Device 注册/重置、用户/组变更、访问授权增删启停、Service/网关/入口变更、API Token/Webhook 变更，以及异常失败。

日志不应保存 token、私钥、完整邀请或敏感请求体。导出用于支持时只保留最小时间窗口并脱敏。