SafeW如何查看并导出90天内登录失败日志？

功能定位：为什么 SafeW 把“90 天登录失败日志”做成独立模块

在零信任架构里，登录失败日志是触发动态策略（如 IP 封禁、二次认证、设备降级）的核心信号。SafeW 把 90 天作为默认窗口，既满足国内金融“至少保留 90 天”的合规底线，又兼顾云存储成本——经验性观察，单员工 90 天失败记录约 1.2 MB，10 万员工池每月新增 120 GB，冷热分层后存储费用可压到 0.48 美元/人/年。

与“会话录像”不同，失败日志只保存结构化事件（时间、UID、IP、设备指纹、失败原因码），不录制屏幕，因此可以秒级检索，也避免了 GDPR 全屏录像需单独征得员工同意的麻烦。

独立模块的另一层考量是“查询熵”隔离：登录失败事件量通常是成功事件的 5–8 倍，与审计日志混用同一张宽表会导致索引膨胀。SafeW 在 26.2 版本把失败事件拆到独立分片后，按 UID 查询的 P99 延迟从 2.3 s 降到 0.4 s，且冷热分层策略只对失败日志生效，成功日志仍保留 30 天热存储，进一步平衡成本与体验。

变更脉络：2026.2 版本带来的三点差异

① 查询接口合并：原先“安全事件→认证”与“审计→登录”两入口经常让用户混淆，26.2 起统一迁到“日志审计→登录失败”。
② 国密字段可选：导出 CSV 时新增“SM3 杂凑”列，方便对接央行、证监会的国密审计系统，默认关闭，需在“合规选项”手动勾选。
③ API 分页上限从 5 k 提到 20 k，减少大数据量拉取时的 429 触发。

入口合并后，控制台左侧菜单深度由 3 级降到 2 级，实测鼠标点击次数平均减少 1.6 次；国密杂凑列采用 SM3+十六进制 64 位固定长度，方便监管工具用正则直接解析，无需额外转码脚本。

控制台操作：最短路径（桌面端与移动端差异）

桌面端（Win / macOS / Linux）

1. 用管理员账号登录 SafeW Console（需版本 ≥26.2）。
2. 左侧导航日志审计→登录失败。
3. 时间范围选择“近 90 天”（默认已填）。
4. 按需过滤：UID、IP、设备指纹、失败原因码。
5. 点击“查询”→右上角“导出”→选 CSV / JSON。

若租户启用了“国密合规包”，步骤 5 会弹出“附加国密杂凑”复选框；勾选后文件体积增加约 18%，但可直接导入央行监管报送工具。

示例：某股份行在 UAT 环境一次性导出 90 天失败日志 1.8 GB，CSV 勾选国密列后膨胀至 2.1 GB，监管报送工具秒级识别 SM3 字段，无需额外脚本清洗，节省约 0.5 人日。

移动端（Android / iOS）

SafeW Console 移动网页版暂不支持导出，只能查看前 200 条。若需完整列表，请使用“发送到邮箱”功能：在查询结果页底部→“更多→邮件发送”，系统会在后台生成文件并发送下载链接（有效期 24 h）。

API 通道：当需要自动化或对接 SIEM

认证与权限

调用前需给服务账号授予audit:login_fail:read权限；若同时需要“国密杂凑”，再勾选crypto:sm3:export。权限最小化原则：别让 WebHook 通用账号拿到写权限。

示例请求（cURL）

GET https://api.safew.io/v2/tenants/{tenant_id}/logs/login_fail
Headers:
  Authorization: Bearer {JWT}
  Accept: application/json
Query:
  from=2025-12-04T00:00:00Z
  to=2026-03-04T00:00:00Z
  page=1
  page_size=20000

返回体含 total、items[] 与 next_page_token；当 total > 20000 时需循环拉取。经验性观察，单次 2 万条约 5.8 MB，千兆宽带 3 s 可完成，但务必在 Header 加 Accept-Encoding: gzip，可再省 75% 流量。

常见分支与回退方案

• 查询超时（>30 s）：说明命中全表扫描，请缩小时间范围或增加 UID/IP 过滤。控制台会在 30 s 后自动弹窗提示“转后台任务”，确认后系统邮件推送下载链接。
• 导出按钮灰色：租户未开通“高级审计包”，需采购 SafeW-LOG-ADDON-01 许可证；临时救急办法是先用 API 拉取，再本地拼接 CSV。
• 国密杂列乱码：Excel 默认 ANSI 打开导致，用 VS Code 选 UTF-8 即可正常显示 SM3 64 位十六进制串。

若后台任务邮件迟迟未到，优先检查垃圾邮箱；仍缺失可在控制台“后台任务”列表点“重新发送”，系统会复用原文件，不会重复计算。

例外与取舍：哪些记录不会被纳入

1. “个人标签页”失败事件：企业策略零触碰，符合 GDPR 第 6 条，系统仅记录“企业标签页”内的登录失败。
2. 已开启“隐私沙盒”的会话：24 h 自毁，日志同步删除，因此 90 天窗口内若含沙盒会话，实际可查询天数可能不足。
3. Safemap 共享节点的中转流量：出于众包隐私考虑，节点侧只上报“连接成功/失败”二进制位，不携带 UID，失败原因码统一为 NODE_RELAY，无法精确定位到人。

性能、合规与协作影响

性能

实测 50 万条失败记录导出 CSV 约 140 MB，控制台后台任务耗时 7 min；若用 API 分 25 页拉取，总耗时 4 min，带宽占用峰值 80 Mbps。建议避开整点，因 SafeW 默认在整点做“区块链时间戳批处理”，IO 竞争明显。

合规

央行《金融数据安全 数据安全分级指南》要求“三级及以上数据离境需审批”。SafeW 法兰克福 POP 虽支持国密，但导出前请确认“数据出境开关���已关闭，否则 CSV 会带欧洲节点 IP，易被监管认定为跨境流动。

协作流程

某券商案例：安全运营组每日 09:00 拉取前日失败日志→SIEM 做暴力破解模型→10:30 前输出封禁名单→网络组通过 SafeW 零信任策略 API 下发临时黑名单。全程自动化后，登录爆破成功率从 0.37% 降到 0.02%，误封率 <0.001%。

故障排查：按现象→原因→验证→处置

现象	可能原因	验证	处置
导出 CSV 只有 1 k 条，明显少	命中“隐私沙盒”24 h 自毁	比对 total 与 items 长度	关闭沙盒或缩短时间窗口
API 返回 403	未开 audit:login_fail:read	JWT 解码看 scope	管理员补授权
国密杂列全 0	未勾选附加国密	看导出弹窗复选框	重新导出并勾选

适用 / 不适用场景清单

• 适用：金融、医药、政府外包、芯片设计等需 90 天可追溯行业；已采购 SafeW-LOG-ADDON-01；有 SIEM 或 SOAR 需要每日自动拉取。
• 不适用：员工规模 <50 人且无外审需求；已启用“一键合规沙盒”24 h 自毁；希望把个人标签页也纳入审计但无法征得员工同意。

最佳实践 5 条（检查表）

1. 每日 08:30 用 API 拉取前日数据，page_size=20000，gzip 压缩，存入对象存储并设置 7 年生命周期。
2. 导出前确认“数据出境开关”关闭，避免跨境合规风险。
3. 为不同团队创建最小权限服务账号：安全组只读失败日志，网络组只读封禁策略。
4. 打开“国密杂列”前评估存储增量，预算允许再开。
5. 整点前后 10 min 避开大批量导出，错开区块链时间戳批处理高峰。

版本差异与迁移建议

26.0 之前失败日志只保留 30 天，且不支持国密。若贵司正在升级，请在维护窗口内先把旧日志用 /v1/logs/export 全部拉取到本地，再导入新系统，否则升级后将无法回溯更早事件。

验证与观测方法

在 SIEM 新建指标“SafeW_Fail_Rate=失败次数/登录总数”，若某日突增 3 σ 即触发告警；同时把 SafeW 返回的 request_id 写入链路日志，方便与后台任务邮件中的 request_id 核对，确保数据完整性。

收尾：核心结论与未来趋势

SafeW 在 2026.2 把“90 天登录失败日志”做成控制台可视化 + API 双向通道，既满足金融级合规，又给自动化留足空间。经验性观察，导出性能、字段完整度、国密支持都已覆盖主流监管需求；唯一需权衡的是隐私沙盒与审计深度的矛盾。

展望 2026.3 路线图，官方论坛已透露将支持自动转存到对象存储并 Parquet 格式化，方便直接对接 Spark 做离线分析；同时计划把保留窗口扩展到 365 天，但需额外订阅“长期合规包”。建议现在就把 API 拉取脚本写成 Parquet 落盘，未来升级可零改动切换。

常见问题

为何 90 天窗口不能自定义缩短到 7 天？

控制台硬编码 90 天是为满足国内金融合规底线；如需更短窗口，可在 API 侧自行过滤 from/to 参数，控制台显示仍会提示 90 天，但实际返回范围由查询参数决定。

国密杂列能否在 JSON 导出里关闭？

可以。国密字段仅在 CSV 导出时提供开关；JSON 返回默认不含 SM3，如需请额外加 ?include_sm3=true 查询参数。

拉取 100 万条以上会被限速吗？

不会直接限速，但超过 20 万条后后台会自动把任务转为“离线模式”，结果以邮件发送，避免长连接占用网关资源。

隐私沙盒关闭后，历史日志会恢复吗？

不会。沙盒日志在创建 24 h 后物理删除，关闭沙盒仅对新生成会话生效，已删除数据无法回溯。

能否把失败日志直接推到 Kafka？

26.2 暂未提供原生 Kafka Sink，需通过 API 拉取后自行转发；官方回应称 2026.3 将上线“日志流式推送”插件，届时可配置 Topic 与鉴权参数。

风险与边界

失败日志虽不含屏幕录像，但仍属于个人信息，导出后需按最小可用原则传递；跨境存储前务必确认“数据出境开关”关闭。若企业已启用 24 h 自毁沙盒，则任何基于 90 天窗口的统计都会出现缺口，不适合用于长期基线建模。