开发一个审计日志服务，用于合规的事件谁-什么-何时

我们的应用程序已经发展到一个地步，以至于我们诚实地无法回答审计员和企业客户不断问的问题：谁、什么以及何时做了什么。现在，操作历史散布在常规应用日志中，这些日志会轮换、与调试噪声混合，并可能被编辑或丢失。这不是审计轨迹，并且已经开始让我们失去交易。我们希望有一个专门的审计日志服务，将每个有意义的用户或管理员操作视为一个完整的事件：主题、操作、目标对象、时间戳、IP或源客户端以及关于具体更改的结构化数据。这故意不是一个通用的日志记录项目，也不是性能监控，也不是状态页面。我们特别关心的是用户操作的可信轨迹，以便进行合规性和安全调查。

任务的核心是防篡改和完整性。事件应以追加方式写入存储，其中任何后续的修改或删除都可以被检测到，例如通过哈希链链接，以便链的断裂立即可见。我们通过一个干净的 API 处理事件摄取，供我们的服务调用，以及一个轻量级客户端库，以便开发人员可以轻松发送事件。在存储之上，我们需要按主题、操作类型、对象、日期范围和自由文本进行快速搜索和过滤，因为在事件发生时，我们需要在几秒钟内得到答案，而不是几个小时。我们还需要按事件类别定制的保留政策，支持暂停删除的法律保留，以及基于角色的访问控制，以便读取审计日志本身受到控制，并且最好也被记录。

最后，合规性只有在有东西交给审计员时才是真实的。我们需要以常见格式可靠导出，并附有可验证的完整性清单，以便外部审计员可以验证导出的切片未被更改。请描述您在高完整性事件存储方面的经验、预期的写入吞吐量以及在日志增长到数亿条记录时如何保持查询性能。

— 事件模式：主题、操作、对象、时间、来源、结构化更改
— 受防篡改保护的追加存储（哈希链或同等物）
— 事件摄取 API 和供我们服务使用的小型客户端库
— 按主题、动作、对象、日期和全文进行搜索和过滤
— 可定制的保留政策和删除时的法律保留
— 基于角色的读取访问权限，并访问记录的日志
— 供审计员验证的导出，附带完整性清单