*抽查回滚索引红点是否完成复查
最敏感的一条写得很轻：
“请现场提供索引册供阅览，不需复印。”
“不需复印”这四个字像安抚句，也像钩子。对手最爱这种安抚句：“不拍照不录屏”“不复印”。你一信，就会把册子摊开在桌上。册子一摊开，旁边一双眼睛就能偷走地图；哪怕不拍照，也能记住关键的几个点位与编号段。
“这份通知是真还是钩？”护士长问。
纪检联络员没有凭直觉。她把通知编号输入门牌工具的“外部核验接待”模块，按下实体按键三秒。签名词一致，发布记录存在，回执验词也能对上。这份通知至少在门牌层面是“真文书”。
“真文书也可能被利用。”周工低声说。
纪检联络员点头：“所以我们要做的是——让真文书的核验需求得到满足，但不让索引册被复制。”
她在行动单上写下一个新的流程名：**受控阅览**。
---
###3）受控阅览：索引册不再是册子，是“版本”
纪检联络员当场做了一个决定：从今天起，索引册进入“版本冻结”状态。
版本冻结不是把册子封起来不让看，而是把“看”门牌化、可追溯、不可旁观。
她把流程压成五步，仍然短：
1）阅览文书核验存在
2）阅览人员登记验词
3）索引册开柜双人签名
4）隔离室受控阅览
5）阅览日志编号入册
“为什么要隔离室？”行政人员问。
纪检联络员回答很短：“隔离室不拍屏幕、不带外设、不旁观。”
隔离室本来用于数据保全，现在扩展为“受控阅览室”。任何想看索引册的人，必须在隔离室内看。隔离室门口贴着新的三条红线：
*禁止携带拍摄设备进入（统一存放）
*禁止携带外来存储介质进入
*禁止带走任何手写摘录涉及编号段（只允许勾选核对）
“只允许勾选核对”这句很关键。核验需要确认“有/无”“一致/不一致”，不需要抄走一堆编号。抄走编号段就等于抄走地图。
罗工在门牌工具里新增一个模块：**索引册阅览验词**。每一次阅览，会生成两字验词，只在内侧显示三秒。阅览者在隔离室签收时必须写下验词，验词与系统一致才允许开始阅览。阅览结束后生成阅览日志编号，日志编号写入索引册最后一页的“阅览页”，像盖章一样固定下来。
“把‘看’也做成开关。”周工说。
纪检联络员点头：“对。看也要门牌化。”
索引册从此不只是一本册子，它有版本号。版本号写在封面内侧，不对外展示。每一次新增封存编号或回滚红点，版本号递增，并生成一个内部哈希摘要（只内部可见）。这样，哪怕有人偷拍了某一页，页码与版本号对不上，也难以拼成可用地图。更重要的是：版本变动可审计，谁看过、何时看过、看了哪个版本，都在阅览日志里。
对手想偷地图，就必须偷版本与日志。偷版本与日志就必须留下痕迹。痕迹一旦留下，链就又长了一环。
---
###4）抽样核验会：真核验不怕受控
下午两点，抽样核验组到场。衣着朴素，证件齐全，文书齐全，语气不急。真核验最明显的特征就是愿意被流程控制。
纪检联络员按照外部接待流程引导核验组：先到核验等候区登记验词，再进入隔离室。核验组成员把手机统一放入存放柜，签收验词后进入隔离室。
隔离室桌面上只有三样东西：索引册、封存编号对照表（勾选版）、回滚红点复查表（勾选版）。没有电脑屏幕，没有投影，没有任何可拍的“界面”。他们要看的是“归档是否一致”，而不是“系统如何运行”。
核验组随机抽了三个封存编号，要求对应物证袋打开核对封条编号与索引册记录一致。护士长按双人签名取柜，拿出封存袋，不在走廊打开，只在隔离室内打开核对，核对完立即重新封存贴封条编号。
核验组又抽了一条回滚红点，要求查看“复查是否完成”。索引册标记“已复查”，动作册对应短台词更新记录“已覆盖夜班复测”。核验组点头：“闭环完整。”
最后，核验组要求看“索引册版本页”。版本号、阅览日志编号都在。核验组成员说了一句很实在的话：
“你们把档案当密钥管，挺少见。”
纪检联络员回得更实在：
“对手把流程当入口，我们只能把档案当门槛。”
核验组没有反对，也没有要求“你们太夸张”。因为真核验的目标是风险降低，而不是便利最大化。便利最大化往往是对手的词。
核验会结束时，核验组签收回执验词入柜，阅览日志编号写入索引册“阅览页”。流程闭环，像一根钉子把“真核验”与“受控阅览”钉在一起：从此以后，“看索引册”就是一条正规可走的路，假钩子很难再用“检查”名义套目录。
---
###5）钩子尝试：假“陪同人员”在隔离室门口露头
核验组离开隔离室后不到十分钟，一个穿着行政风格、戴着挂牌的人走到隔离室门口，语气很自然：
“我来协助核验组拿材料，你们把索引册给我，我去他们车上对一下。”
这句话看似合理，实则致命：把索引册带出隔离室、带到车上，等于把地图交到不受控环境。车上有摄像头、有窗、有反光、有时间。对手最喜欢“车上对一下”“我带走一会儿”。
护士长没让他解释身份，直接按门牌：