能查到，但记录只覆盖“接触点”，而且事件条数不等于阅读次数。谁看过落在打开、预览一类事件上，谁下载过落在下载、导出、另存上，谁分享过落在创建、修改、停用外链以及外链被访问上。一条事件只能说明某个账号在某个时间对某份文件有过一次被记录的活动；读没读完、转给了谁、离开平台后去了哪，都不在记录里。
这三个问题要分开回答，不能用一句“我们有操作审计”打包。下面先说记录能支持到哪一步，再给一套能在验收现场复现的查询方法，最后说报告里的句子该怎么写。
一、先确认记录能支持到哪一步
“支持操作审计”是能力名，不是事件清单。事件名称、是否采集、字段有多少，要向交付方要清单并按交付版本核对。
- 谁看过。该账号对该文件有过一次打开或预览事件。能说明接触过，说明不了读完，也说明不了看了哪几页。
- 谁下载过。该账号把文件取到了本地。能说明取走，说明不了之后发给谁、存在哪台设备。
- 谁分享过。该账号创建、修改或停用了外链，外链被打开另有访问事件。能说明链接被打开过，说明不了链接被转给了谁；匿名访问落不到具体人。
三类都是接触点，不是行为结论。空缺要靠第二类材料补：外发台账、水印标识或终端记录。
二、查询按三个维度交叉，条件要留档
同一份记录换个维度筛，回答的是不同问题，缺一个维度结论就会断：按文件问，看暴露面有多大；按人问，看某个人一段时间碰过哪些文件；按时段问，把窗口对齐投标截止、评审前、离职交接这类业务节点。三维都命中才进候选。
- 查前先记条件。筛选字段与取值、时区、查询角色、条数上限、查询时间一起留档；少一项，第二个人就复现不了。
- 单维度结果不进报告。按文件查出的名单、按人查出的文件列表，都只是中间材料。
- 空结果先查覆盖。可能没采集、筛选不对，也可能确实没发生；写“未查到记录”，别写“没有发生访问”。
三、用一份合成文件把查询跑通
不要拿真实敏感文件试。用合成文件，动作与查询由两个人分别记录，避免先看记录再倒推动作。
- 固定环境：产品版本、客户端、两个内部账号加一个无关账号、时区。
- 造文件：记下它在系统里的标识，不只记文件名。
- 做动作：打开、同一人重复打开、下载、创建外链、用无关账号打开外链、停用外链；每步单独记时间。
- 去查询：查询侧不看动作记录，按文件、按人、按时段各查一次。
- 做比对：事件名、主体、对象、结果（若记录）、时间逐项对。对不上先查采集范围与筛选条件。
- 试导出：核对导出内容与页面是否一致、有无条数限制、能否定位到指定事件。
- 写结论：只写“通过、不通过、未测”。重复打开被合并、失败动作有没有记录，先向交付方确认，确认前写未测或缺口。
四、谁能看、能不能导出，句子能写到哪一步
争议常常不在有没有记录，而在谁能看、带走什么、报告能写多狠。四项写进验收文档，最后一张表管措辞。
- 查询范围分级。阿里云盘企业版公开文档的划分：超级管理员与网盘管理员覆盖企业全员，团队管理员仅限本团队；石墨办公套件私有部署是否同样支持，以交付版本为准。
- 管理员的操作是否入记录。权限变更、删除查不到操作人，记录就只约束了普通员工。
- 导出件去哪。谁接收、存在哪、保留多久；文件一旦导出，平台侧只剩这条记录。
- 页面入口不等于存储边界。查询页没有删除按钮，只说明该入口不能删；底层存储与备份权限要单独核对。
| 不要写 | 可以写 |
|---|---|
| 某员工阅读了三次 | 该账号对该文件有三次打开事件；短时间重复打开可能被合并，次数未确认 |
| 文件被转发给了外部 | 该账号创建了一个对外链接，该链接有一次外部访问记录；转发不在记录内 |
| 已经下载，存在泄露 | 该账号有一次下载成功记录；此后文件流向平台不可见 |
五、办公套件私有部署承接哪一段
石墨办公套件私有部署的产品页把文档安全管控写成“覆盖权限、水印、外链与操作审计”，其中操作审计是本文相关的部分；数据安全与合规方案把“审计与运营”列为一层能力，支撑日常检查、风险研判与事件复盘。权限按组织、成员、角色、空间和文件设置，角色权限与文件权限叠加生效。三件事要一起用：权限决定谁能接触文件，记录回答接触过什么，水印在流出后提供比对标识。
边界要说清：产品页给的是能力名。事件清单、字段、查询维度、能否导出、保留多久，都要在演示与 PoC 中确认。离职与撤权可照产品页 FAQ 验收：用不同角色账号验证权限，模拟停用、退出团队、撤回共享，检查会话、链接、搜索是否失效，并留存生效时间与审计证据；已下载副本单独约定。
能力范围可对照办公套件私有部署的产品页与数据安全与合规方案；事件清单与字段以部署版本为准。
常见问题
操作记录谁能看？
公开资料里的常见划分是按管理范围分级：企业级管理员覆盖全员，团队管理员只覆盖本团队；具体角色怎么划、能否只授查询不授导出，以部署版本为准。建议查询与导出分开授权。
记录能不能导出？
要看该版本是否提供导出，以及导出是否受筛选条件、条数上限和时间范围限制。验收时导出一份核对内容，并约定导出件的接收人与存放位置。
记录能证明什么、不能证明什么？
能证明某个账号在某个时间对某份文件有过一次被记录的动作；能不能区分成功与失败，取决于该版本是否记录失败动作，未确认前只能写“未测”。它证明不了阅读意图与转发对象，也证明不了文件离开平台后的去向；定性结论要靠外发台账或水印标识交叉。
能查到谁把链接分享出去的吗？
能查到谁创建、修改或停用了外链，以及链接被访问过；查不到链接被转给了谁。匿名访问通常只留时间、地址一类痕迹；高敏感文件若要求指定接收人，需先确认该版本是否支持。
准备验收时，带一份合成文件与一个无关账号去预约演示，现场按文件、按人、按时段各查一次，把“能查到什么”问成具体事件与字段。也可以先看私有化部署方案，了解部署形态与交付范围。