---
###2）只读接口的定义：只输出存在性，不输出内容
纪检联络员在白板上写下“只读接口”四个字，然后写下一句定义：
**接口只输出‘存在性结论’，不输出‘编号内容’；只输出‘当日摘要’，不输出‘全量记录’。**
她把它压成三个非常硬的输出项：
*当日封存编号总数（计数）
*当日抽检匹配率（计数）
*当日节拍坐标表版本号（只读）
这三项的共同点：没有任何可被输入查询的字段。你不能在接口里输入某个封存编号来查真伪，因为接口根本不提供“查某个编号”的能力。接口只提日整体结论与计数。
“那跨域怎么核验具体的请求？”省里的人一定会问。纪检联络员提前把替代写好：
“具体核验仍走节拍：在固定核验时段，以书面请求编号对接，由双方窗口当面确认，不通过接口查询。”
也就是说：接口负责“宏观互认”，节拍负责“具体核验”。宏观互认用来建立制度信任，具体核验用来接住真实群众。
“接口不是用来替代窗口。”纪检联络员说，“接口是用来减少不信任。”
减少不信任就够了，别想减少窗口接触。减少窗口接触会逼出通道。
---
###3）省里要“一键校验”，我们给“一键判别”
省里追求“一键校验”，他们想的是群众输入编号后系统给结果。纪检联络员知道，这个需求背后是群众的焦虑：异地来到窗口被怀疑、被要求重复解释、被要求证明自己。大家想要一个“我输入就能证明我没撒谎”的机制。
焦虑真实，但输入是洞。
要接住焦虑，就要给一个不输入的“一键判别”：让群众不需要操作，只要看一眼就知道该去哪儿。
他们提出一种更克制的替代：**互认判别卡**。
互认判别卡不是身份证明，不含个人信息，只是一个只读路标。卡片上只有三行：
*互认核验只在窗口当面进行
*互认不互填，不提供任何输入查询
*需要核验请按节拍到窗口，携带发放条上联
卡片右下角印当季“互认门牌”：互认三不（不输入、不私信、不素材）。不含号码，不含链接。
群众拿到互认判别卡，至少不会被“查询平台”诱导。卡不是证明你是谁，卡是证明路径在哪里。路径清楚，洞就少。
父亲后来听见这张卡的设计，说了一句很短的评价：
“证明路，不证明人。”
这句话很准。证明人会逼你交信息；证明路只会带你回窗口。
---
###4）接口洞的第一波：邻区有人偷偷做了“内部查询工具”
事情来得比他们预想更快。第三天晚上，周工收到邻区同事发来的私密提醒（注意：不是私聊随口，而是按节拍的内部联络窗口提交的“异常报告编号”，依旧走正渠）：
“我们这边有人做了一个内部查询工具，输入封存编号可查是否存在，用于提高效率。现在被人截图传到群里，说是官方核验入口。”
“内部查询工具”四个字像雷。它一旦出现在任何地方，就等于有人把接口洞挖出来了。更糟的是，它已经被截图传播到群里——素材洞已经产生，模板洞已经生成。
纪检联络员听完没有骂人，她只做三个动作，像止血：
1）**立刻发布跨域统一提示**：
“互认不互填。任何输入查询均非官方。”
2）**立刻要求邻区停用工具并封存**：
停用、封存、编号记录，走审计门牌流程
3）**立刻启动跨域“洞回滚”机制**：
对已传播截图不解释真假，只给路径替代：按节拍到窗口当面核验
“洞出现了，不要追谁挖的。”纪检联络员说，“先把洞回滚。”
周工点头：“回滚靠默认设置。”
他给邻区发了一份只读接口规范草案，第一条就是：
“任何查询工具不得存在输入框；出现输入框即重大违规。”
第二条：
“任何核验必须按节拍窗口执行，禁止群里传播截图。”
第三条：
“违规工具停用后必须生成封存编号与整改摘要，写入跨域核验墙。”