Articles and Tutorials
2026 年 9 月 28 日到 10 月 9 日。先用四天南湾自助日把时差和节奏调回来，10 月 2 日起是八天七晚的正题：周五进旧金山，周六飞圣地亚哥，周日取车沿 101 一路向北，六个日落分给金门大桥的桥底、Encinitas 的海崖、Santa Monica 的码头、Griffith 的山顶、Malibu 的海岬和 Palos Verdes 的灯塔，最后从 LAX 分手。
这不是一次「把美国看完」的旅行。八天里只做三件事：在旧金山住一晚看两个半天，沿加州海岸从圣地亚哥开到洛杉矶，把每天的傍晚留给一个不同的日落。取车之后每一个落脚点都比前一个更靠北，全程不走回头路。 前一段是西雅图的三晚，从那儿飞回湾区，先用四天把时差和节奏调回来——一个人照常上班，另一个人在南湾一天走一个片区——然后才是这八天。…
Read more2026 年 9 月 25 日到 28 日，两个人从太平洋两侧飞到同一座城市汇合。三个晚上，两晚在市中心，一晚挪到湖边。不租车、不排长队、每天留一个日落：滨水区、Kerry Park、华盛顿湖各一个。
这趟旅行的第一段，是一次汇合。一个人从上海直飞西雅图，一个人早上从湾区飞过去，落地时间差不多，当天下午在派克市场碰头。 三个晚上不追景点数量。西雅图的任务只有两个：把时差放下来，把这座西北海港城市最经典的几个画面看一遍。周五下午落地，周一一早的飞机走，中间是周六和周日两个完整的白天——一天看经典，一天慢慢晃。…
Read more十多年前那套 1800 个指标的 BI 系统，是我做过最完整、也最早暴露「指标越多越没人信」的项目。这是一次隔了很久的复盘。
问题 十多年前，我在一家物流公司主导过一套企业级 BI 系统，覆盖运营、工程、财务、人力、物流、产品、时效七八个领域，指标数最后长到了标题里那个数字。当时我们把这当成骄傲：汇报材料里指标数永远是第一行，老板问起系统，回答总是从「又新增了多少指标」开始。指标数量就这样成了成功标准：好量化，容易体现进展，也符合所有人对「数据驱动」的想象。 问题在半年后浮出来。…
Read more白名单回答的是「谁」，审计问的是「为什么」。当两者不再是同一个问题，权限模型就该换主键了。
问题 我在一家全球化广告平台做数据合规与架构治理，参与过多轮外部审计。审计官问的问题惊人地一致：这个人为什么能看到这份数据？谁批准的？批了多久？他在这段时间里到底看没看？ 而我们的权限系统——无论是早年的 ACL 白名单，还是后来整理过的 RBAC——只能回答第一个问题的一半：「他在名单上」。…
Read more埋点失控不是技术债，而是组织债：采集的人不用，用的人不管，删的人不敢。这篇从责任链的角度重新看这个老问题。
问题 埋点这件事，我在两个时代见过两种失控。 早年在物流与证券行业做 BI 时，失控的是指标。同一个「日活」在三张报表里有三种口径，没人说得清哪个是对的，也没人敢删掉另外两个。那时我以为这是数仓建模的问题，后来花了很多年做指标体系，把口径收敛到一处，问题看起来解决了。…
Read more「隔离」是合规文件里最常出现、也最容易被误解的词。这篇把它拆成三种可以独立设计、独立验证的边界。
问题 在一家全球化广告平台做数据合规架构这几年，我最常被问到的不是「怎么做隔离」，而是「隔离到底指什么」。同一份要求，法务读出来是「不能混」，产品读出来是「不能看」，工程师读出来往往是「再部署一套」。法规文本里的「数据隔离」「本地化存储」「限制跨境传输」，在工程上并没有唯一对应物，它们描述的是义务和结果，不是实现方式。…
Read more把数据服务的权限从一张越来越大的白名单，收敛成一套能同时回答合规、准确与效率的申请、审批与审计机制。
问题 数据服务的权限，是我接手架构治理时最不起眼、也最难收拾的一块。它不是某一次设计失误的结果，而是多年按「谁能看」累积出来的：某个团队上线新报表，申请一批表的读权限；某位同事转岗，权限跟着人走；某次紧急排障，临时开了个口子，之后没人记得关。每一条单独看都合理，加在一起就是一张越来越大的白名单。它只回答「谁能看」，不回答其他任何问题。…
Read more当埋点从几百个长到几万个，真正的问题不是采集，而是没人为信号负责。这是一次把信号裁剪做成机制的复盘。
问题 我在一家全球化广告平台负责数据合规架构的那几年，接手过一份很长的清单：广告 measurement 相关的埋点信号，从曝光、点击、转化到各种归因辅助字段，多年累积下来，数量从几百个长到了几万个。清单本身并不可怕，可怕的是清单旁边那一栏「负责人」，大多数是空的，或者写着早已转岗的名字。 这背后是一条断裂的责任链。…
Read more