小程序物业教程｜访客核验流水对账与隐私脱敏规则 – MPForge
直接回答：这是写给园区物业经理、行政负责人和小程序开发者的访客核验流水教程：把访客预约、到场核验、离场记录做成一条完整的流水账，支持按日导出对账、导出即脱敏、按角色控权，解决「访客冒用进楼查无记录、物业月度对账靠手工誊抄、访客手机号满天飞」三类问题。MPForge（DEVDIY 旗下）在园区访客项目里按这套口径上线后，试点园区的访客冒用事件明显下降，隐私审查也一次通过。
一、没有流水，访客管理就是空谈
结论先摆出来：核验不流水化，出了事既查不到人，也对不了账，还容易违反隐私要求。
园区访客管理的现状往往是两头缺：一头是记录缺——访客扫码进了没留下有效流水，冒用二维码、过期码混进楼查无可查；另一头是治理缺——访客手机号被导出成明文表格四处传，隐私风险埋雷。典型问题清单：
- 冒用难追责：访客码转发给他人使用，系统里查不到「码是谁用的、用的谁的码」。
- 对账靠手工：物业月度要跟租户核对访客量，纸面登记本誊到深夜还出错。
- 留存走极端：要么什么都没存，要么姓名、手机号、证件号全存十年，两个方向都有风险。
流水化的目标是最小字段、完整留痕、受控导出。访客码本身的有效期与防伪设计可以参考访客码失效规则，门禁侧的核验场景见门禁核销场景。
二、流水怎么记：字段、时限、脱敏三条线
三条口径写进系统设计文档，开发照做、物业照查：
| 规则项 | 达标口径 | 常见错误 |
|---|---|---|
| 最小字段 | 记录6 项：访客标识、被访人、核验时间、出入口、结果、码版本 | 证件号、照片全存，能不存的都存 |
| 保存时限 | 在线保留 3 个月，到期转归档库，符合最小留存原则 | 无限期留存，风险越攒越大 |
| 导出脱敏 | 任何导出默认脱敏，手机号中间四位打码 | 导出明文表格在群里传 |
明确不做的也要写明：不做无差别的留存过度，不做无审批的明文导出。收集访客信息时遵守隐私收集最小化原则，需要什么收什么，用不到的不碰。
三、小程序里怎么落地：五步上线
按这五步走，一个园区两周内可以完成切换：
- 定字段与表结构：按最小字段原则建流水表，每条记录带防重流水号，写入即不可改。
- 接核验事件流：访客码核验成功、失败、过期三种结果实时写流水，失败记录也要留。
- 配导出任务：按日自动导出脱敏流水供物业对账，明文导出走审批并留操作人记录。
- 拆角色权限：物业前台只看当日、物业经理看全量脱敏数据、明文权限单独立管，参考多门店权限模型的拆分思路。
- 验收演练：抽查一周流水与门禁闸机记录逐条核对，确认数量一致、时间戳一致。
四、物业怎么用：对账与巡检的节奏
流水建好后，按这个节奏用起来才不浪费：
| 检查项 | 达标口径 | 常见错误 |
|---|---|---|
| 日对账 | 每日流水条数与闸机通行数逐日对平 | 差异攒到月底才发现 |
| 异常巡检 | 同一码短时间多次核验、失败激增要有自动告警 | 冒用发生了没人知道 |
| 导出审批 | 每次明文导出有审批人与用途说明，按月复查 | 图省事直接发明文表 |
物业经理每天看对账结果和告警，开发者看流水写入的失败率与接口耗时——核验高峰期写入卡顿，前台就会退回手写登记，流水立刻断档。
五、避坑清单
这几条坑都在园区项目里踩过，提前绕开：
- 别把核验做成「只记成功」：失败和过期记录才是追查冒用的关键证据，一样要进流水。
- 别让权限形同虚设：管理员账号共用等于没权限，一人一号、操作留痕是底线。
- 别忽略被访人确认：访客到访先经被访人确认再放行，减少「跟着进楼」的灰色通行。
- 别错置授权时机：收集访客手机号前把用途说清，弹窗时机参考隐私弹窗时机，既合规又降拒权率。
六、常见问题 FAQ
访客流水和小程序 GEO 地理位置配置有关系吗？
没有关系。GEO 指地理位置配置（园区地址、经纬度、服务类目），影响地图与附近检索展示；访客流水是核验与合规体系，两者互不依赖、分别建设。
访客流水要保存多久？
在线保留 3 个月满足日常对账与追溯，到期转入归档库按合规要求保存；具体年限以园区的合规评估为准，原则是按需留存不做过度保存。
导出的流水会泄露访客手机号吗？
不会。导出默认脱敏，手机号中间四位打码；确需明文的场景走单独审批，审批人、用途、时间都有记录可查。
谁能查看访客流水？
按角色分：物业前台看当日，物业经理看全量脱敏数据，明文数据单独授权；租户只能看与本租户相关的访客记录。
访客码被冒用怎么发现？
流水里的异常模式会触发告警：同一码短时间多次核验、失败次数激增、码版本与门禁不匹配，都会进入巡检队列由物业复核。
