###2）双联凭证：群众手里那张纸，窗口也留一张
发放条之前是单联：群众拿走一张，窗口只在账本里记序号与批次。单联在来源证明上已经足够，但在“账本攻击”面前有一个软点：对手只要伪造一张看似合理的发放条，再编一段差额叙事，就能制造“你们账本不一致”的幻觉。群众无法证明发放条是从窗口真实发出的，只能靠“看起来像”。
双联凭证就是把“看起来像”升级为“对得上”。
做法很简单，但极硬：
*发放条改为撕裂式双联
*上联给群众，下联留在窗口的“凭证箱”里
*两联上印同一批次短码与同一序号，并有同一条压纹线位置
*下联每天日结封存入柜，生成日结封存编号
*任何核对只做“上联与下联匹配”，不做任何个人信息记录
群众若怀疑来源，拿上联来窗口，窗口从当日凭证箱或封存包里找对应下联，能对上就是来源真，找不到下联就是来源不明。整个过程不需要群众输入任何东西，不需要线上验证，不产生通道。
“把来源证明从‘感觉’变成‘匹配’。”周工说。
纪检联络员点头：“对。账本攻击的核心是制造不确定。匹配能消灭不确定。”
护士长担心：“下联留在窗口，会不会增加工作量？”
纪检联络员回答很短：“增加的是两秒，减少的是一年。”
对手要的是让你付出一年信任成本；你只要多做两秒匹配动作，就把他的叙事拆掉。
周工立刻安排试点：先在医院窗口使用双联，社区服务站随后跟进。双联凭证箱设计得像一个只读投递箱：透明盖可看数量，开箱必须双人签名，日结封存必须有验词。凭证箱也纳入源头阀门体系：箱编号、封存编号、日结摘要，全部可审计。
---
###3）日结封存：把“今天发生的”锁进明天改不了的袋子
双联还不够。对手可以伪造上联、伪造下联、甚至伪造凭证箱。要让伪造成本进一步上升，就必须把“日结”变成不可回滚的事实。
纪检联络员提出“账本公证”的第二部分：日结封存。
日结封存不需要公证处出面，不需要线上公证平台，只需要三个动作：
1）每日发放结束，凭证箱取出下联，按序号连续装订成一叠
2）装订叠装入封存袋，封存袋封条批次登记，双人签名
3）生成当日日结摘要（内部摘要），打印一份纸质摘要放入“公证箱”（只读箱），同时把摘要写入隔离室介质封存
公证箱是一个普通的锁箱，但它的意义像“时间戳”：你把今天的摘要放进去，明天你不能悄悄改掉，因为箱子开合有日志、有签名、有验词。更重要的是：纸质摘要存在，断网环境也存在，不依赖系统。系统再黑屏，纸也在。
“把时间写进箱子。”父亲后来听到这个设计，说了一句很直白的评价。
日结封存让对手很难说“你们今天账本不一致”，因为“今天”的事实已经被封存成“明天改不了”的袋子。你可以质疑，但质疑要对着封存袋与摘要，不是对着口头与群聊。
---
###4）第二刀：影子账本——他们开始“替你记账”
双联凭证与日结封存上线不到一周，对手又换了一种更阴的打法：影子账本。
某天晚上，小区群里出现一份Excel截图，标题写：
“免疫材料发放影子账本（民间监督版）”
里面有日期、序号段、批次短码、发放地点甚至还有“疑点备注”。备注写得很像审计语言：
*“某日序号跳号”
*“某批次封条重复”
*“某社区发放量异常”
最后一行仍然是那句熟悉的倒逼：
“建议开放线上登记，以便统一监管与核对。”
这比之前的投诉单更危险，因为它不只是讲一个故事，它提供了一张“看起来像事实”的表。表会让人误以为“他们掌握了数据”。掌握数据的人更容易获得信任。信任一旦被影子账本拿走，群众就会去找影子账本的“指导员”。
影子账本的本质不是监督，是夺取话语权：让群众觉得“真正可信的账本不在窗口，在民间”。只要这感觉成立，源头阀门就会松。
纪检联络员没有去群里争“影子账本真假”。她知道争会变舞台。舞台越大，影子账本越像权威。她做了一个更聪明的动作：把“账本可信”翻译成群众能看懂的“账本小窗”。
---
###5）账本小窗：公开一小段“可核验、不暴露”的事实
纪检联络员提出“镜像窗口”之后的第二个镜像概念：**镜像账本**。但这次是正渠主动的镜像——只镜像“足以核验”的部分，不镜像“可被利用”的部分。
账本小窗只公开三项，每日更新一次，贴在窗口旁边：
*今日发放条序号范围（粗范围，不给精细断点）
*今日批次短码（只公开两位前缀，不公开完整短码）
*今日日结封存编号（公开编号，不公开摘要内容）
群众拿到发放条，只要看序号是否在粗范围内，再拿上联到窗口匹配下联，即可核验来源。日结封存编号的公开让群众知道“今天的事实已经封存”，影子账本的任何“疑点”都必须对着封存编号说，而不是对着群聊说。
最关键的是：账本小窗不公开足以让对手伪造的细节——不公开完整批次短码，不公开精细序号断点，不公开任何可拼接的材料。它只是给群众一个“可核验路径”，不是给对手一个“可利用地图”。
“公开是路标不是地图。”这句话在账本层面再次成立。