时还权”。
周长岳要求每次演练最后都必须恢复正常权限，并由另一个人确认没有残留令牌。
“这么怕残留？”程序问。
“临时管理员账号、临时网络豁免、临时武器授权，哪一种最后不是从‘先放着’开始出事。”
程序想起自己做产品时也见过大量临时开关。
发布前开。
故障时开。
临时客户要求开。
后来没有人敢关，因为没人记得为什么开。
“以后每个临时权力都有到期时间。”他说。
“还有负责人。”
“自动到期。”
“极端情况允许续。”
“续期要重新写理由。”
两人很快把这一条补到附件里。
周长岳看着程序：“你终于明白安全不是多装一个急停。”
程序回答：“我从来知道。”
“以前你只知道产品急停。”
“现在知道权力也要急停。”
周长岳难得没有挑刺。
这句话被保留在培训稿里。
离开前，程序又看了一眼那把钥匙。
“以后还会用吗？”
“会。”
“希望少用？”
“希望该用的时候能用，不该用的时候拿不出来。”
程序点头。
这句话比“永不滥用”更像安全设计。
没人能保证永远正确。
能做的是让错误动作更难，让必要动作仍然可达，让每一次使用都留下足够证据供后来的人追问。
框架提交以后，周长岳把办公室里那张不适配程序的椅子换掉了。
程序第二次来时停了一下。
“这是制度进步？”
“后勤改造。”
“谁提的？”
“我。”
程序没再逗他。
有些变化不需要写进原则。
只要下一次真的能坐下，就已经够了。
程序坐下试了试。
高度合适。
“谢谢。”
周长岳头也没抬。
“别误会。只是避免你每次站着挡投影。”
程序没再说话，只把椅子往前调了半格。投影完整落在墙上，周长岳打开下一份演练计划。没有宣言，也没有和解。两个人只是继续开会，把还没写清楚的边界一条条补完。