清晨七点四十六分，医院大厅的低温灯依旧亮着。服务台外侧的队伍仍旧慢，慢得像一条被拉直的线。线里的人把“确定感”交给路标：入口牌、公开一页、节拍表、发放条。跨域对账上线后，来的人更杂：外地口音更多、携带不同区的发放条更多、问法也更不一样——他们不再问“你们是不是官方”，而是问“你们认不认那边的结论”。
入口牌依旧两行字，短得像公共标识：
**无后门，不插队**
**提示单不含任何联系方式**
墙上的识别点依旧很大：
**能填就是伪。**
周工把跨域核验墙的当日验词写进内部小本，合上笔帽时，桌面轻响了一声。他抬眼看屏幕上那条跨域水位：伪截图仍偶发，但转化率低；跨域核验请求集中在固定十五分钟时段，记录封存齐全；互认三不落实情况稳定。
“网开始连起来了。”他说。
纪检联络员没有点头，她看着“跨域核验请求量”的折线，突然把笔尖停在某个峰值上。
“连网之后，洞会换位置。”她说。
护士长抬头：“换到哪里？”
纪检联络员把行动单翻到新页，页眉写下四个字：
**接口阀门**
她落笔很稳：
**跨域互认一旦变成‘接口’，对手就会把接口当入口；互认一旦变成‘查询’，洞就会从人群端转到系统端。**
系统提示在林昼视野边缘亮起：
【新风险：接口洞（跨域查询系统/统一核验接口/搜索框）】
【形态：为效率加输入→为互认建入口→入口被冒用】
【对策：接口阀门（只读接口+存在性证明+节拍调用）】
【原则：互认可自动化，不能可输入】
林昼听见“接口洞”，心口一紧。跨域对账刚上线时，他们刻意把“核验墙”做成公告墙，不能查询、不能输入，只能看。可只要有人想“更高效”，就会想加搜索框：输入封存编号，输出真伪；输入发放条序号，输出匹配结果。听起来像省事，实质就是把洞搬到屏幕上。
洞搬到屏幕上就很致命：你一旦给群众一个输入框，就会有更像的输入框出现；你一旦给工作人员一个接口，就会有更像的接口伪装成内部对接；你一旦让核验变成“随时可查”，就会有人把“随时”变成“随口”。
“节拍一旦被取消，互认就会变通道。”纪检联络员说。
她说完这句话，行政办公室的同事推门进来，递上一份省里新发的“征求意见稿”。标题很漂亮：
**关于推进省域一体化核验接口建设的建议（征求意见稿）**
正文更漂亮：
“统一核验接口”“一键校验”“自动拉取”“减少人工”“提升效率”。
最刺眼的一句藏在中间：
“允许基层单位在核验平台输入编号快速查询，减少窗口等待。”
护士长看到“输入编号快速查询”，眉心瞬间收紧：“他们终于要加搜索框了。”
周工低声说：“这是接口洞。”
纪检联络员把那句话圈起来，在旁边写四个字：
“能填即洞。”
她抬头看众人，声音很平：
“我们要做的不是反对接口，而是把接口也只读化。”
---
###1）接口为什么危险：因为它天然取消节拍
跨域对账之所以稳，是因为它把联系门牌化、节拍化：每天固定十五分钟核验时段，核验请求书面化编号化，回复只给结论与存在性，不给细节。这套设计把“互认”放进正渠。
接口一旦建立，天然想做两件事：
*取消时段：随时查
*取消门牌：随口查
随时随口就是洞。洞一开，冒用就会集中爆发。因为对手最喜欢“随时随口”：不用排队、不用节拍、只要你输入一下、点一下。
周工把“接口洞”拆成三条最短风险：
1）**查询框=输入洞**：群众端与工作人员端都可能被伪造
2）**自动拉取=供给洞**：只要接口有数据，就会被想办法“拉走”
3）**实时返回=素材洞**：返回结果截图就是模板，模板就是通道
纪检联络员听完，点头：“所以接口必须满足三不：不输入、不拉取、不出素材。”
“那还叫接口吗？”护士长问。
“叫接口。”周工说，“但叫只读接口。”