**只要服务账号被控制，任何人都能在审批后借服务账号执行变更。**
关键不在于服务账号本身，而在于：谁发起了变更申请？谁写了变更内容？服务账号执行的变更内容是否与申请一致？有没有二次修改？
法务又说：“更重要的是，审计记录里有一个字段：OverrideReasonCode。填写的是‘EMERGENCY_DELIVERY_ASSURANCE’。紧急投递保障。”
紧急投递保障。
林昼听到这几个字，心里一沉。紧急意味着非日常，意味着特殊批准，意味着应该有更严格的记录。你不能随便在医疗关键系统上挂一个“紧急”标签，然后把跨区回退开关打开。
紧急应该对应：紧急原因、紧急审批链、紧急有效期、紧急告知与确认闭环。
可他们的通知邮件内容简略，没有提示回滚与跨区回退，这与“紧急”不匹配。
紧急越大，告知越应该充分。
告知越简略，紧急越像借口。
法务继续：“还有一个字段你猜对了：ProbeWindowPrev=15m，ProbeWindow=5m，EffectiveTime=19:08:13，ExpireTime=03:10:05。秒级时间戳完整存在。”
秒级时间戳出现了。时间线可以精确到秒。精确到秒意味着你能对齐其他事件：19:10左右的证书变更准备、19:20通知邮件、19:35-19:45实施窗口、19:42签名、19:45-20:30逐步生效……所有东西都能对齐。对齐之后，“巧合”会越来越难说出口。
林昼问：“有没有APACfallbackoverride的字段？”
法务点头，敲出一行：“有。字段叫‘FallbackOverrideScope=APAC_PRIORITY_BOOST’，并且有‘OverrideFlag=true’。”
APAC优先级提升。OverrideFlag=true。
这与匿名截图高度一致。匿名邮件不是证据，但它成为了预警：有人知道字段名，有人知道变更发生，有人知道你们拿到的只是摘要。现在原始记录证实了这些字段存在，
本章未完，请点击下一页继续阅读！