结论先行：应急场景里下发的策略，几乎都是「先通、再说」。问题不在于当时通得快不快，而在于这条策略有没有带一个到期时间。带上期限、写清申请人、到期前提醒、到期后自动回收——四步做完，临时策略才是临时的。

本文只谈临时策略的期限治理，不谈应急封堵该多快。

尾巴是怎么留下来的

一条临时策略的生命周期通常是：故障发生、有人申请、工程师手工下发、业务恢复、大家松一口气。到这里动作就结束了。三个月后再看，这条策略还在设备上，申请人已经调岗，当初为什么开没人说得清，删又不敢删。

这类策略的麻烦在于它长得和正常策略一样。它不报错、不告警，只是静静地扩大着可达范围。等到做暴露面梳理或者合规检查时，才会成批地冒出来。

四个动作，缺一个就会漏

其一，把期限做成必填项。下发界面里，到期时间不是可选项而是必填项；没有期限的策略不生成。这一步把「记得删」变成「不填就发不下去」。

其二，写清申请人与依据。谁提的、因为什么、影响哪几个对象、预计多久能撤。这四项是后来判断「能不能续」的全部依据。缺了依据，续期就变成拍脑袋。

其三，到期前提醒，不是到期后才通知。提前一到两天提醒申请人：业务是否还需要。需要就走续期，不需要就回收。提醒发给提出的人，而不是发给运维——因为只有他知道业务现状。

其四，到期自动回收，回收动作留痕。到期未续的一律自动回收，并把回收记录写进变更流水。这一条最难，因为它会真的把某些业务挡在外面；但也正是这一条，决定了策略库会不会越积越脏。

封堵类策略同理，只是方向相反

护网与重保期间下发的黑名单，也要带期限。攻击停止之后长期封着，会把正常的业务访问一起挡掉；而一旦有人为了放通业务把整条黑名单删掉，防护就出现了空档。通行做法是按时封堵、到期自动解封，另外配一份白名单防止误封——白名单本身也要有人定期审。

回收之后还能查

自动回收不等于结束。回收记录要能被查到：哪条策略、什么时候建的、谁批的、什么时候收的、因为什么。这套记录在出问题时的作用是自证——证明当时是按要求开的，也按要求收了。

边界与前提

三点说明。其一，到期自动回收的前提是策略对象与业务对象的对应关系清楚，否则会出现「回收了但业务真的还在用」的情况，所以回收前必须有提醒环节。其二，期限的长短应由业务方确认，运维不宜代为决定；超出常规时长的申请应走更高一级审批。其三，本文所述机制属于策略治理平台的常见能力组合，具体功能形态以所用平台版本为准。

深圳市奇摩计算机有限公司在做策略治理项目时，会把「期限、申请人、依据、回收留痕」四项作为临时策略的固定字段写进流程，并跟客户约定每年的历史策略复核节奏。预约咨询，可以从你现在设备上那些说不清来历的策略开始，一起清一遍。