右手缩在袖子里。
侧边进入。
文件袋被换。
这些词组合起来，不像普通的偷换，更像一种有经验的“递手”。先让别人看到一个可交差的外形，再由真正的手从门缝里把名字换掉。门没变，窗也没变，变的是谁伸手进去，以及手里拿着什么。
“窗呢？”林序忽然问。
周砚转头看他。
林序眉头拧得很紧，像是顺着方进的说法自己也在往下推：“如果门是最后一层，那窗是什么？为什么一定要问到窗？”
方进没有立刻答，而是把公开说明的草稿往前推了推，指着其中一处尚未填完的附件栏。
“因为门是进，窗是看。”他说，“门决定谁能进来，窗决定谁能看到。门有名，说明手能被追责；窗有名，说明看的人也得被追责。留白如果只藏在门后，最多是进场的责任不清；可如果窗也留白，那就是看见的人可以假装没看见，审批的人可以假装没审批。”
周砚的眼底一点点压下来。
他总算明白方进那句“门也不能空”之后为什么还要补“窗”。这不是单纯的空间隐喻，而是对整条链路的两端一起定名。门后面是谁开的，窗里是谁看的。开门的人和看门的人，必须同时问名。否则就会有人在门口演一出“我没进去”，在窗边演一出“我没看见”，最后整个事故只剩一只看不见的手，永远落不到纸面上。
“窗在哪？”周砚问。
方进抬手点了点大屏。
屏幕上灰度保全的温控曲线旁边，有一条很细的访问日志分支，分支终点停在一个极小的字段上：镜像观察窗。
“这是昨晚被临时接入的观察窗。”方进说，“本来是给取证组看的，后来被人通过旧授权链转给了秘书长办公室的某个备用账号。你们只盯着门禁，没盯窗授权，所以看见的是失温，没看见的是先看后动。”
周砚的脑子里瞬间有一根线被拉直了。
门先开，窗先看，文件后换，名字后移。
这条链如果不把门和窗一起钉死，后面所有公开说明都只能写成事故复盘，写不成问名清单。
“把窗授权链调出来。”周砚说。
信息中心技术员早已在旁边待命，立刻坐到终端前，十指飞快敲了起来。几秒后，大屏上跳出一串新的访问路径。最前面的授权签发位仍然空着，后面却挂着一个旧标签：观察窗授权临时转接。
周砚看着那串字，目光慢慢冷下来。
“临时转接”四个字就是最典型的留白包装。它不直接说谁转的，也不直接说谁收的，只说有一个临时动作，临时到足以不留痕迹，临时到足以把责任稀释成空气。
“这不是临时。”他说。
方进看向他：“当然不是临时。”