管理审计
追踪管理变更，同时避免记录敏感正文。
查看记录
管理员在「管理 → 审计日志」查看密钥、组、成员、订阅账号和访问设置的变更。成员无法访问。模型调用记录位于 请求诊断，与管理审计分开。
记录覆盖密钥创建、编辑、原文读取和撤销，组与授权变更，成员创建与禁用、密码重置、请求限额，以及账号授权、删除、并发与清除冷却等操作。本地密码恢复使用 local-cli 身份，不会伪称管理员本人操作。
隐私与一致性
事件包含操作者 ID、用户名与角色快照、来源、动作、目标类型与 ID、结果和时间。不会记录请求或响应正文、密码摘要、密钥值、OAuth 参数、账号邮箱、原始 URL 或错误。
成功事件与变更在同一事务提交，审计保存失败会回滚变更。已认证的失败操作尽力记录脱敏状态。公开登录、初始化、只读查询、自动凭据刷新与后台调度不被当作管理变更，历史操作不回填。
密钥读取事件只说明服务端返回了密钥，不保证剪贴板写入或外部导入成功。
保留与接口
保留最近 90 天、最多 10,000 条事件，在写入和读取时清理。没有删除接口，但这仍是有界的本地运维记录，不是不可篡改的外部档案。
GET /api/audit?cursor=0&resource=&outcome= 要求管理员会话，每页最多 50 条，按新到旧返回。outcome 可用 success 或 failure，空值表示全部。界面仅在进入、刷新、筛选或翻页时读取。