景区旺季的现场人手多半不全是自己人：检票队伍外包、售卖端交给代运营、节假日临时借调。系统层面的常见做法是——来一批人，注册一批账号。三个月后再查，这批账号里有一部分还在能登录状态。

临时账号要有到期时间，而不是靠人记得删

只要回收动作依赖某个人想起这件事，就一定会漏。账号建立时就必须带两个属性：有效期和归属项目。有效期到了自动失效，不需要谁去操作；归属项目写清楚是“十一外包检票”还是“某渠道代运营”，项目结束时按归属批量停用，一次处理干净。

还有一类更容易被忘记：代运营交接时对方技术同事的账号。人走了，账号留着做“接口调试”。这类账号建议单独归为接口账号，不给界面登录权限，只允许特定来源访问，并且密钥轮换写进流程里。

临时人员该有什么能力，看现场出什么问题

检票口的临时人员要的是三件事：验票、放行、把异常记录下来。不该有的是退票、改价、修改票种、导出游客数据。很多系统给的是“检票员角色”，而这个角色里默认带着手工放行以外的补录和撤销功能，因为当初是给正式员工配的。正确做法是另配一个外包角色，权限只保留只读和标记，撤销和补录留给带班工号。

代运营需要的往往是内容上架和优惠配置，这两项的影响面比票务现场更大：优惠配错会直接亏钱，上架配错会卖出不存在的票种。给代运营的开票权限可以放，价格与优惠的修改权限建议只做申请，不直接生效。

留痕要留到人，不是留到岗位

外包队伍内部换班快，账号共用是普遍现象。一个账号五个人轮着用的结果，是出事后没有任何一条记录能指向具体人。折中方案有两档：一是每人独立账号，代价是要有人管这批账号的生灭；二是共用账号但每次操作要求带工号或扫描个人胸卡，把真实操作者记在明细里。

需要留痕的动作至少要覆盖：手工放行、撤销核销、退款、改价、修改库存、导出名单。这六类动作的记录要包含操作人、时间、来源终端和改动前后的值，不能只记一条“操作成功”。

收回权限的三步收尾

项目结束时按顺序做三件事：先停用账号，保留记录；再核对这段时间内的高风险操作是否都有对应工号；最后把临时角色从权限模板里摘掉，防止下一个旺季复用这套过宽的模板。第一步防止继续访问，第二步防止事后说不清，第三步防止问题被复制。