访客上网的记录留下来之后，事后怎么查
企业访客WiFi认证解决了"谁能上网"的问题，同时也产生了另一类资产——记录。谁在什么时间用什么设备、通过哪种方式认证、在线多久、大概用了多少流量，这些事系统都记着。但很多企业把日志开起来之后就放那儿了，真到要查的时候——安全部门想看一次异常访问、行政想复盘某次接待、合规想导出一段记录——不知道从哪下手，也不知道这些日志到底能查到多细。
企业访客WiFi认证的留痕价值，不是"有日志"本身，而是出了事之后能不能顺着日志把事情还原出来。
系统里到底记了哪些东西
认证系统留下的日志，按用途可以分成几类。
第一类是认证事件日志：谁、什么时候、用什么方式认证成功或者失败了。这一条记下来，基本就能把"某次上网行为对应到哪个真实身份"这根线接上——访客是手机号收验证码认证的，手机号本身就是身份线索。
第二类是在线和时长记录：这个账号从几点在线到几点下线，中间有没有换设备。这部分用来还原"这个人在企业网络里待了多久"。
第三类是流量和上网记录：这个账号大概用了多少流量、访问活动的基本情况。到这一层为止，是认证系统自带日志能覆盖的范围。
要清楚一个边界：认证系统自带的日志，重点是把身份和接入事件对应起来，满足基本的追溯和配合调查需要。它不是全流量深度审计系统——那种要完整还原某个人在网上每一步具体访问了什么、看到了什么页面，是另一类独立日志产品的能力。两个产品解决的问题不一样，不能混为一谈。
事后检索按什么维度查
真到要查的时候，管理员不是翻整本日志，而是按几个维度组合筛。
按时间查：某个工作日下午两点到五点之间，有哪些访客在线。按人查：某个手机号对应的这个账号，最近三个月都什么时候认证过。按地点查：某层楼、某个SSID下，当天所有访客的接入记录。按事件查：某个时间段内有没有认证失败次数异常多的账号、有没有账号在不该在线的时间挂着。
这几个维度组合起来，基本能覆盖大部分日常审计场景。行政想知道"上周三来的那位客户是谁接待的、待了多久"，按日期+访客账号一筛就出来；安全部门想看"最近有没有账号在晚上十点后还在线"，按时间维度一反查就能定位到。
接待责任链怎么顺着日志追
企业访客网络有一个特殊的追溯需求：不是只查"谁上了网"，而是查"是谁把他放进来的"。一位访客能连上网，背后一定有一个对应关系——要么是他自己收验证码认证的，要么是他对接的员工扫码授权放行的。日志里应该把这条链记下来：哪个员工、在什么时间、授权了哪个访客账号。
这条链在出问题时特别有用。比如事后发现某段时间有个访客账号访问了不该碰的资源，管理员顺着日志往上追：这个账号是谁授权开的、对应的接待人是谁、当时是什么业务场景下的拜访。责任不是凭空来的，是沿着日志一条线能摸到的。
这种追溯能力要求在开户环节就把接待人信息绑上去。前台手动开账号时录一下接待人；扫码授权模式下，授权人本身就是那个员工。两个通道都要有这个字段，后面才能顺着查。
日志留存和导出要按监管要求来
日志记下来之后留多久、什么情况下导出，是合规层面的事。网络安全相关法规对日志留存期限有明确要求，具体到某个企业、某个行业要留存多久、按什么格式导出、要不要对接公安指定的审计平台，要结合当地监管和项目实际要求来确认，不能一概而论说"我们合规"。
比较稳妥的做法是在项目阶段就和监管要求对齐：按当地要求的期限配置日志存储，按要求的格式准备导出，按要求的流程配合公安或者内部审计的查询。认证系统的日志是这条合规链路里的一环，但完整的合规落地要和企业整体的日志留存方案放在一起看，不能只靠认证系统一家包打天下。
把日志从"存着"变成"能用"
企业访客WiFi认证的留痕日志，价值在两个方向：日常运营上，管理员能按维度快速检索、按接待人追溯责任链；合规上，按监管要求留存和导出，需要的时候能拿得出来。两个方向都做到位，日志才不是一堆占磁盘的文件，而是企业在访客网络管理上的一个真实抓手。
具体能查到多细的维度、日志保留多久、和企业整体审计系统怎么配合，这些都要结合认证系统的实际能力和企业的合规要求来设计。上线前把"事后要查什么"想清楚，日志才会按对的方向积累；等真要查的时候才发现当初没记某个字段，就只能补，补不回来了。