Cenxy

等保和密评里，心理 SaaS 被扣分最集中的不是网络加固，而是日志查不清、权限太粗、密钥管理不到位。

心理测评数据属于敏感个人信息，存储加密的下限是不留明文、密钥与数据分离，再叠上最小权限与脱敏展示。

字段级日志防的是数据被悄悄改，操作级日志防的是数据被拿走，心理测评场景更该优先记全导出与查看。

换计分公式最稳的做法是新旧算法并行：新卷走新公式，旧卷仍按交卷当天的算法解释，靠答卷绑定版本号实现。

刚交卷看不到报告，多数时候不是数据丢了，而是读写分离带来的副本同步延迟。

RPO 决定出事那天最多丢多少数据，RTO 决定系统要停多久，学校采购前都该问清楚。

无效卷检测能拦住敷衍的答卷，但它识别的是作答行为的异常，不是回答内容的真伪。

可审计的心理预警，指的不是报警多，而是每一次触发都能回溯到一条有版本记录的规则。

同样是把测评报告变成 PDF，服务端渲染和前端浏览器打印是两条路，各有各的坏法，选之前得先知道它们会怎么出问题。

同一套心理 SaaS 上住着上百所学校，学校 A 采购的量表包绝不能出现在学校 B 的可用列表里，隔离要从每一次数据查询做起。

一条测评链接发出去，既要防被随手转发给别人代做，又要防同一条被重复提交，还要能随时作废，这三件事得在 Token 设计里一并解决。

三千行名单里混着几十行格式不对的，回滚指的是整批退回，还是能进的先进、进不去的挑出来退回，这两层意思得先分清。

异步出报告顶住了峰值，但队列堆积时给用户一个永远转圈的图标是最糟的做法；该给的是一台看得见的状态机。

给未成年来访发测评链接前，监护人是谁、同意覆盖哪次测评、链接由谁点开作答、结果谁能看，都要先确认并绑到这次测评上。

对来访按次收费还是按量表收费，系统在交卷时记账还是出报告时记账，两个口径不对齐，月底对账就会打架。

机构停业或搬迁，趁系统还在就要把导出清单列清楚：来访档案与同意、原始作答与报告、会谈与转介、账号与日志四类都别漏。

小组咨询的前后测，个人报告和批次报告本就该在同一次测评里一起产出，而不是先导一份、再靠人手拼另一份。