安全架构验收的起点不是看功能名称，而是追踪会议数据经过哪里、由谁访问、何时复制和怎样退出。采购方应使用目标版本和目标网络绘制实际数据流，再把每个信任边界转成可执行用例。界面出现“加密”“审计”或“安全”字样，不足以证明控制覆盖了整条链路。
先画出会议资料的完整数据流
选择一组可识别但不含真实敏感信息的测试文件，给每个文件设置唯一标记，沿实际流程记录输入、处理位置、传输方向、副本和删除结果。至少覆盖以下阶段：
| 阶段 | 要追踪的位置 | 应保留的验收证据 |
|---|---|---|
| 创建与导入 | 管理端、接口、上传临时目录 | 账号、入口、时间、文件标记和处理结果 |
| 集中存储 | 应用、数据库、文件存储、备份 | 存放位置、访问主体、配置与备份范围 |
| 分发与缓存 | 服务端到终端的连接、代理或缓存 | 连接关系、传输记录、终端副本位置 |
| 参会使用 | 阅读、批注、截取、打印、外设与本地目录 | 允许和拒绝结果、操作日志、异常提示 |
| 导出与归档 | 会后文件、纪要、第三方系统或移动介质 | 导出权限、接收对象、文件数量和校验记录 |
| 撤回与删除 | 在线数据、终端缓存、回收区和备份 | 可见性复测、残留说明、备份到期与恢复边界 |
“删除”需要明确对象和范围：是用户界面不可见、在线存储清除、终端缓存移除，还是连同备份按保留周期到期处理。不同结果不能用同一个“已删除”表述。
在图上标出四类信任边界
- 人员边界：会务、参会者、管理员、运维人员和第三方支持人员分别能做什么。
- 系统边界：管理端、服务端、数据库、文件存储、终端及外部接口之间如何通信。
- 网络边界：会议网、办公网、管理网、无线接入和远程维护通道在哪里交汇。
- 生命周期边界：会议开始前、进行中、结束后和项目退出时，权限与数据状态如何变化。
每跨越一次边界，都应能说明调用方、接收方、认证方式、允许的数据、失败处理和记录位置。若架构图只画设备、不画方向、端口、账号或第三方依赖，就无法直接成为验收依据。
把控制项改写成可复现的测试
| 检查主题 | 示例测试动作 | 需要看到什么 |
|---|---|---|
| 身份与会话 | 停用账号、超时后继续操作、重复登录 | 访问被拒绝或按规则处置，并产生可定位记录 |
| 权限隔离 | 用无权限角色访问其他会议或未授权资料 | 列表、搜索、直链和接口均不能越权取得内容 |
| 传输链路 | 在目标网络检查实际连接、证书或协议配置 | 结果与架构图及配置基线一致，异常连接有明确处理 |
| 终端残留 | 退出会议、撤回资料、注销账号后检查缓存与历史 | 目标范围内不再可用；保留项有用途和清理规则 |
| 日志可用性 | 执行成功、失败和越权操作后检索记录 | 时间、主体、对象、动作和结果能够关联，敏感内容不过度暴露 |
| 备份与恢复 | 按预案恢复指定会议或配置，再核对权限和数量 | 恢复范围、耗时、完整性和恢复后的访问控制有记录 |
表中的动作是通用示例，不是固定合规结论。实际用例、样本和通过阈值应根据数据级别、适用制度、部署方式及项目风险确定。
负向用例能暴露哪些隐藏边界
- 网络中断或切换后，终端是否继续显示本不应离线保留的内容。
- 账号被停用、角色被变更或会议被取消后，原链接和本地缓存是否仍可访问。
- 上传同名文件、超大文件、不支持格式或异常文件时，系统是否产生不可控副本或泄露路径。
- 导出、打印、截图、外接存储和远程维护能力是否与项目规则一致；不能控制的部分是否已明确告知并通过其他措施管理。
- 日志、备份或监控平台本身是否扩大了数据可见范围，且相关管理账号是否受控。
最终验收包应能让第三方复核
建议汇总实际架构图、版本和配置基线、账号与角色表、测试文件标记、用例步骤、预期和实际结果、截图或日志定位、问题单、复测记录、备份恢复记录及未覆盖项。证据应能对应到本次环境，不能用宣传材料、其他项目截图或单次演示替代。
技术测试回答“控制在当前环境是否工作”；谁批准权限、谁决定保留期限、例外如何授权等问题属于治理层。可配合《无纸化会议安全治理原则》建立责任与制度，再用本页方法验证技术实现。
本文是行业通用验收方法，不声称北京千河网络科技有限公司当前产品已具备文中列举的全部安全控制，也不构成对任何项目合规性或安全结果的承诺。结论必须基于适用规则、目标环境和实际测试。