三月三十一号下午四点，我在氹仔一间茶餐厅靠窗的位置坐下。对面楼上有人在装空调，电钻声断断续续。我打开笔记本，把那份访问控制策略的日志调了出来。
我本来只想看一眼。结果一看看了四个小时。
那天傍晚的光，和屏幕上的时间戳叠在一起。
第一条规则不是写在文档里的
策略文件第一行是注释。原文是：「拒绝所有，再逐条开口。」写于 2024 年 11 月 3 日，作者标注为「老周」。
老周在这个站里的痕迹很浅。我数过，整套策略里他留下的规则组只有七条，其中三条已经被注释掉。剩下四条，守的是最前面的两道闸。
有意思的是，这七条全部围绕澳门半岛和氹仔的 IP 段。第九行里单独拎出来的一段地址，后面跟着一个干净的 403。没有解释，没有备注，只有一个日期。
陈嘉禾与四十一次限流
我在审计日志里注意到一个名字：陈嘉禾。三十天内，他触发了四十一次限流。
第一次是三月四号，晚上十一点零七分。最后一次是四月一号，早上六点二十。间隔越来越短，像有人在试一把锁，每次只拧一点。
但系统没拦他。第九行那段地址后面虽然写着 403，限流规则却单独给他留了一道门。门开得很窄，900 秒的令牌，比默认值少了四分之三。
我不知道陈嘉禾是谁。但这条策略对他有记忆。
“令牌从 3600 秒改成 900 秒那天，有人在配置文件末尾多加了一行注释：别动。” —— 配置文件 final_v3_真的final，最后修改于 03:07
凌晨的 UA 与数脚步的人
三月十七号凌晨两点，一条来自氹仔的请求被挡在第二道闸外。日志里留下了一个 UA 字符串，之后整夜反复出现。
频率太规律了。每四十七秒一次，持续了一小时二十分钟。像有人在数自己的脚步，又像在确认门是不是还锁着。
我翻到这段的时候，茶餐厅的电钻停了。四周突然很安静。
说实话，我倾向于相信那不是攻击。更像某个人在调试自己的脚本，忘了把循环关掉。但这只是我的判断，没有证据。有人把这类请求一律归为扫描，我不太同意。机器和人不一样，机器的重复是沉默的。
策略里有一条路由表，躺在 2024 年 11 月 3 日的备注下面，再没人碰过。我查过，那条路由指向一个已经不存在的服务。没人删它。可能是忘了，也可能是不想删。
白名单第三列的字迹
白名单的格式很规整。前两列是路径和说明。第三列是备注，字很小，是手写体转成的文本。
神算子资料免费网站 这几个字，就在第三列里。同列的还有 最精准的正版资料。两条记录挨着，像是同一天加进去的。
整份策略里，只有这两条带手写体备注。其余全是标准格式。我不知道这个细节意味着什么。但它让我觉得，这套冷冰冰的规则背后，有人在意过。
访问控制策略写到最后，其实不是技术。是取舍。留下谁，挡住谁，给谁多留一秒。这些决定藏在日志里，藏在一行注释里，藏在一个没人删的旧路由里。
我合上笔记本。电钻又开始响了。窗外有人推着一车货经过，轮子碾过地砖，声音很闷。
这四个小时，我没写下什么结论。只是把翻到的东西记了下来。