运维工单（平台）¶
运维工单页面是超级管理员对破坏性操作进行确认的队列。只有唯一的超级管理员可以看到并操作此队列。
为什么是队列而不是表单¶
破坏性操作（批量删除、解除隔离、数据保留期变更）不能从 Web 端发起。流程如下：
- 平台运维人员从命令行开出一个工单，系统记录操作者姓名、具体动作和执行内容（payload）。
- 工单以
PENDING状态出现在此页面。 - 超级管理员审阅完整 payload 与内容哈希，然后确认或拒绝。
这种职责分离意味着没有任何单个人既能发起、又能授权破坏性操作。
工单生命周期¶
PENDING— 等待超级管理员决策APPROVED— 已确认，动作已执行并记录结果EXECUTED— 同"已确认"，作为最终执行状态保留REJECTED— 超级管理员拒绝，并记录原因EXPIRED— 未在截止时间前确认，已无法执行CANCELLED— 确认前被撤回
审阅工单¶
- 查看 — 打开工单查看动作、完整 JSON payload、发起人、内容哈希；已完成的工单还会显示执行结果。
- 同意 — 确认并立即执行动作，会记录决策原因。
- 拒绝 — 拒绝工单，必须填写原因，以便运维人员了解被拒的原因。
注意事项¶
- 审阅界面显示的内容哈希可用于确认 payload 自开出以来未被篡改。
- 已过期和已取消的工单会保留在列表中以备审计，但已无法再被同意执行。