制度写\"单据保留三年\"，实际附件在个人邮箱、日志只留三十天。验厂或外汇检查要调某票货，找不到当时谁改过数量。留存不是口号，是存储设计：哪些日志、哪些附件、存在哪一层、如何防篡改、如何按合同号找回。外贸的报关、产地、信用证往来，尤其不能靠聊天记录顶替。
三年后还能打开的，才叫留存。现在能打开的，只叫在线。
分层和不可篡改
在线库保留热数据，归档库按出货编号打包：发票、箱单、提单、邮件、操作日志摘要。日志只追加，修改留前后镜像。附件哈希入库，替换视为新版本而非覆盖。检索必须支持合同号、报关单号、发票号，不能只支持\"记得大概哪个月\"。
- 热数据与归档的保留期限分开写进运维手册。
- 删除权限与业务权限分离，防止\"先删再改\"。
- 定期抽检：随机抽一票三年内的货，限时找回。
日志要能讲清谁改了什么
数量、价格、目的港变更必须有人、有时、有原因。XYN 数智化系统把出货附件与关键操作日志按票归档，验厂和审计对着同一包。口号改成抽检项，留存才会有预算；只有口号，磁盘会在某次清理中\"顺便\"空掉。
先写清要留什么、留多久、谁能删。三句话写不清，就还没有留存设计。
