年卡被借走这件事，多数不是游客刻意违规，而是办卡那天就没把“谁能用”锁死。不记名年卡天然能转借，记名但不核验的年卡在亲友手里照样能刷。管住借卡靠的不是闸机灵敏度，而是发卡、扣减、挂失、退卡四个环节各自有没有把使用人钉住。

先决定做实名年卡还是不记名卡

实名年卡要采三样：证件号、姓名、人脸底照，缺一不可；只登记姓名和手机号的等于没做。办理动线建议用线上受理、到园首次入园时激活锁定：激活那一刻把卡号和首用人的证件、底照绑在一起，之后这张卡只能本人用。后台要能查到卡号、会员编号、证件号（只存脱敏位或加密串）、底照采集时间、激活通道、有效期起止。不记名卡省事，但只能靠限时段、限节假日减轻损失，防不住借用。

人脸绑定要配失败次数和解绑权限

人脸核验的漏洞常出现在两个地方：比对阈值调得太松，长得像就能过；比对失败后没有次数上限，一家人轮流试。做法是连续失败若干次即锁定该通道并转人工，人工位必须核验证件原件才解锁。解绑、重拍底照这类动作权限要收到客服主管账号上，且强制填写事由、保留操作前后的照片。不采儿童脸的园区换一种绑法：儿童不单独成卡，挂在成人年卡下，通道上要么成人先刷要么按同行核验，绑定人数用完就不放行；绑定关系的每次增减都要留记录。亲子卡的扣次方式也要定死：按成人一次扣还是每个儿童各扣一次，两种算法在人次报表上差很多。

次卡扣减要防并发，也要防各点位各记各账

计次卡最麻烦的是同一次被刷两下。规则要定成扣减发生在核销成功回执之后：同一张卡在核销瞬间加锁，另一个通道再刷就提示处理中；失败要立刻释放锁，不能留一条已经扣次却没放人的记录。第二个坑是各点位自己记次数，大门票扣一次、每个项目各自扣，两张账凑不出真实剩余。剩余次数必须只有一本主账，点位只发起扣减请求并回写流水，操作员用手持终端能查到剩余次数、最近一次核销时间和通道号，现场争议通常就在这三行上结束。补次、扣次属于高危动作，要第二人确认，并写入变更前的值和变更后的值。

挂失要分清四种状态

挂失、冻结、锁定、退卡中如果混成一个“停用”，就管不住也查不清。挂失由窗口按证件核验后受理；冻结允许客服远程受理，但必须留下受理工号和依据；锁定是系统行为，比如连续比对失败触发，条件解除后自动放开；退卡中是流程状态，期间锁住一切扣减和核销。实体卡和手环丢了要换卡，原则是会员编号不变、权益跟着编号走，卡号变更要写清新旧对照并保留旧卡流水，否则剩余次数就断在一张废卡上。退卡和续费的口径提前定死三条：有效期按激活日起算满一年还是按自然年，续费是叠加还是到期后再起算，退卡按已用次数折算时取哪个单价口径。三条都配成系统参数并写进入卡告知，窗口照参数解释，比现场吵有用。

这六类操作一定要留痕

激活绑定、解绑重拍底照、换卡迁移、次数调整、冻结解挂、退卡审批，这六类要各自成记录，字段至少包括操作人与工号、操作时间、终端标识、关联卡号或订单、变更前后值、事由。借卡争议最后拼的就是这些记录：没有留痕，一句“我从来没借给别人”没法反驳；有留痕，无论拒绝投诉还是划分内部责任，都有依据可走。