活动日志与流量
活动日志记录“谁在何时对哪个对象做了什么、结果如何”；流量回答“当前 Network 的数据使用情况”。二者名称、导航与页内标题保持一致。
活动日志按时间、操作者、稳定对象 ID 和结果还原控制面动作。
流量定位当前 Network 的总量、趋势和异常时段。
真实请求日志和统计提供证据，但不能代替客户端、网关与后端验证。
调查步骤
- 用准确时间和时区界定窗口。
- 确认 Organization、Network 与操作者账号。
- 按稳定 ID 关联 Device、Node、Service、授权或入口。
- 对照客户端版本、
ns info和目标主机日志。 - 区分控制面变更、配置投影与实际数据流。
重点事件
登录/退出、多账号切换、Space 切换、Device 注册/重置、用户/组变更、访问授权增删启停、Service/网关/入口变更、API Token/Webhook 变更，以及异常失败。
日志不应保存 token、私钥、完整邀请或敏感请求体。导出用于支持时只保留最小时间窗口并脱敏。
流量怎么看
先确认当前 Space 和时间范围，再观察总量、变化趋势与异常峰值；将异常时间与活动日志、客户端版本和网关状态关联。流量统计用于定位范围和趋势，不证明某个请求已经成功，也不能替代真实服务、出口或节点探测。
完成一次调查时至少记录：时间范围与时区、Organization/Network、相关稳定 ID、观察到的允许或拒绝结果，以及对应客户端/网关日志。数据缺口应明确标记，不能用前一时间段或另一个 Network 的统计补齐。