第195章 接口阀门（1/2）

清晨七点四十六分，医院大厅的低温灯依旧亮着。服务台外侧的队伍仍旧慢，慢得像一条被拉直的线。线里的人把“确定感”交给路标：入口牌、公开一页、节拍表、发放条。跨域对账上线后，来的人更杂：外地口音更多、携带不同区的发放条更多、问法也更不一样——他们不再问“你们是不是官方”，而是问“你们认不认那边的结论”。

入口牌依旧两行字，短得像公共标识：

**无后门，不插队**

**提示单不含任何联系方式**

墙上的识别点依旧很大：

**能填就是伪。**

周工把跨域核验墙的当日验词写进内部小本，合上笔帽时，桌面轻响了一声。他抬眼看屏幕上那条跨域水位：伪截图仍偶发，但转化率低；跨域核验请求集中在固定十五分钟时段，记录封存齐全；互认三不落实情况稳定。

“网开始连起来了。”他说。

纪检联络员没有点头，她看着“跨域核验请求量”的折线，突然把笔尖停在某个峰值上。

“连网之后，洞会换位置。”她说。

护士长抬头：“换到哪里？”

纪检联络员把行动单翻到新页，页眉写下四个字：

**接口阀门**

她落笔很稳：

**跨域互认一旦变成‘接口’，对手就会把接口当入口；互认一旦变成‘查询’，洞就会从人群端转到系统端。**

系统提示在林昼视野边缘亮起：

【新风险：接口洞（跨域查询系统/统一核验接口/搜索框）】

【形态：为效率加输入→为互认建入口→入口被冒用】

【对策：接口阀门（只读接口+存在性证明+节拍调用）】

【原则：互认可自动化，不能可输入】

林昼听见“接口洞”，心口一紧。跨域对账刚上线时，他们刻意把“核验墙”做成公告墙，不能查询、不能输入，只能看。可只要有人想“更高效”，就会想加搜索框：输入封存编号，输出真伪；输入发放条序号，输出匹配结果。听起来像省事，实质就是把洞搬到屏幕上。

洞搬到屏幕上就很致命：你一旦给群众一个输入框，就会有更像的输入框出现；你一旦给工作人员一个接口，就会有更像的接口伪装成内部对接；你一旦让核验变成“随时可查”，就会有人把“随时”变成“随口”。

“节拍一旦被取消，互认就会变通道。”纪检联络员说。

她说完这句话，行政办公室的同事推门进来，递上一份省里新发的“征求意见稿”。标题很漂亮：

**关于推进省域一体化核验接口建设的建议（征求意见稿）**

正文更漂亮：

“统一核验接口”“一键校验”“自动拉取”“减少人工”“提升效率”。

最刺眼的一句藏在中间：

“允许基层单位在核验平台输入编号快速查询，减少窗口等待。”

护士长看到“输入编号快速查询”，眉心瞬间收紧：“他们终于要加搜索框了。”

周工低声说：“这是接口洞。”

纪检联络员把那句话圈起来，在旁边写四个字：

“能填即洞。”

她抬头看众人，声音很平：

“我们要做的不是反对接口，而是把接口也只读化。”

---

###1）接口为什么危险：因为它天然取消节拍

跨域对账之所以稳，是因为它把联系门牌化、节拍化：每天固定十五分钟核验时段，核验请求书面化编号化，回复只给结论与存在性，不给细节。这套设计把“互认”放进正渠。

接口一旦建立，天然想做两件事：

*取消时段：随时查

*取消门牌：随口查

随时随口就是洞。洞一开，冒用就会集中爆发。因为对手最喜欢“随时随口”：不用排队、不用节拍、只要你输入一下、点一下。

周工把“接口洞”拆成三条最短风险：

1）**查询框=输入洞**：群众端与工作人员端都可能被伪造

2）**自动拉取=供给洞**：只要接口有数据，就会被想办法“拉走”

3）**实时返回=素材洞**：返回结果截图就是模板，模板就是通道

纪检联络员听完，点头：“所以接口必须满足三不：不输入、不拉取、不出素材。”

“那还叫接口吗？”护士长问。

“叫接口。”周工说，“但叫只读接口。”

---

###2）只读接口的定义：只输出存在性，不输出内容

纪检联络员在白板上写下“只读接口”四个字，然后写下一句定义：

**接口只输出‘存在性结论’，不输出‘编号内容’；只输出‘当日摘要’，不输出‘全量记录’。**

她把它压成三个非常硬的输出项：

*当日封存编号总数（计数）

*当日抽检匹配率（计数）

*当日节拍坐标表版本号（只读）

这三项的共同点：没有任何可被输入查询的字段。你不能在接口里输入某个封存编号来查真伪，因为接口根本不提供“查某个编号”的能力。接口只提日整体结论与计数。

“那跨域怎么核验具体的请求？”省里的人一定会问。纪检联络员提前把替代写好：

“具体核验仍走节拍：在固定核验时段，以书面请求编号对接，由双方窗口当面确认，不通过接口查询。”

也就是说：接口负责“宏观互认”，节拍负责“具体核验”。宏观互认用来建立制度信任，具体核验用来接住真实群众。

“接口不是用来替代窗口。”纪检联络员说，“接口是用来减少不信任。”

减少不信任就够了，别想减少窗口接触。减少窗口接触会逼出通道。

---

###3）省里要“一键校验”，我们给“一键判别”

省里追求“一键校验”，他们想的是群众输入编号后系统给结果。纪检联络员知道，这个需求背后是群众的焦虑：异地来到窗口被怀疑、被要求重复解释、被要求证明自己。大家想要一个“我输入就能证明我没撒谎”的机制。

焦虑真实，但输入是洞。

要接住焦虑，就要给一个不输入的“一键判别”：让群众不需要操作，只要看一眼就知道该去哪儿。

他们提出一种更克制的替代：**互认判别卡**。

互认判别卡不是身份证明，不含个人信息，只是一个只读路标。卡片上只有三行：

*互认核验只在窗口当面进行

*互认不互填，不提供任何输入查询

*需要核验请按节拍到窗口，携带发放条上联

卡片右下角印当季“互认门牌”：互认三不（不输入、不私信、不素材）。不含号码，不含链接。

群众拿到互认判别卡，至少不会被“查询平台”诱导。卡不是证明你是谁，卡是证明路径在哪里。路径清楚，洞就少。

父亲后来听见这张卡的设计，说了一句很短的评价：

“证明路，不证明人。”

这句话很准。证明人会逼你交信息；证明路只会带你回窗口。

---

###4）接口洞的第一波：邻区有人偷偷做了“内部查询工具”

事情来得比他们预想更快。第三天晚上，周工收到邻区同事发来的私密提醒（注意：不是私聊随口，而是按节拍的内部联络窗口提交的“异常报告编号”，依旧走正渠）：

“我们这边有人做了一个内部查询工具，输入封存编号可查是否存在，用于提高效率。现在被人截图传到群里，说是官方核验入口。”

“内部查询工具”四个字像雷。它一旦出现在任何地方，就等于有人把接口洞挖出来了。更糟的是，它已经被截图传播到群里——素材洞已经产生，模板洞已经生成。

纪检联络员听完没有骂人，她只做三个动作，像止血：

1）**立刻发布跨域统一提示**：

“互认不互填。任何输入查询均非官方。”

2）**立刻要求邻区停用工具并封存**：

停用、封存、编号记录，走审计门牌流程

3）**立刻启动跨域“洞回滚”机制**：

对已传播截图不解释真假，只给路径替代：按节拍到窗口当面核验

“洞出现了，不要追谁挖的。”纪检联络员说，“先把洞回滚。”

周工点头：“回滚靠默认设置。”

他给邻区发了一份只读接口规范草案，第一条就是：

“任何查询工具不得存在输入框；出现输入框即重大违规。”

第二条：

“任何核验必须按节拍窗口执行，禁止群里传播截图。”

第三条：

“违规工具停用后必须生成封存编号与整改摘要，写入跨域核验墙。”

把整改写进核验墙，是把事故变成制度免疫。别人看到“某日停用某工具，封存编号XXXX”，就知道：输入洞会被立即回滚，不会变常态。

本章未完，点击下一页继续阅读。