制度寫\"單據保留三年\"，實際附件在個人郵箱、日誌只留三十天。驗廠或外匯檢查要調某票貨，找不到當時誰改過數量。留存不是口號，是存儲設計：哪些日誌、哪些附件、存在哪一層、如何防篡改、如何按合同號找回。外貿的報關、產地、信用證往來，尤其不能靠聊天記錄頂替。
三年後還能打開的，才叫留存。現在能打開的，只叫在線。
分層和不可篡改
在線庫保留熱數據，歸檔庫按出貨編號打包：發票、箱單、提單、郵件、操作日誌摘要。日誌只追加，修改留前後鏡像。附件哈希入庫，替換視為新版本而非覆蓋。檢索必須支持合同號、報關單號、發票號，不能只支持\"記得大概哪個月\"。
- 熱數據與歸檔的保留期限分開寫進運維手冊。
- 刪除權限與業務權限分離，防止\"先刪再改\"。
- 定期抽檢：隨機抽一票三年內的貨，限時找回。
日誌要能講清誰改了什麼
數量、價格、目的港變更必須有人、有時、有原因。XYN 數智化系統把出貨附件與關鍵操作日誌按票歸檔，驗廠和審計對著同一包。口號改成抽檢項，留存才會有預算；只有口號，磁碟會在某次清理中\"順便\"空掉。
先寫清要留什麼、留多久、誰能刪。三句話寫不清，就還沒有留存設計。
