凌晨00:37，平台合规机房，只有风扇在喘。安然盯着监控面板上跳动的细线：
ApI：\/portrait\/v2\/profile
调用源：第三方“画像平台”（去名）
异常峰：00:21—00:28，qpS从12抬到91，且Referer伪装为**“公益项目统计”**。
“有人在抽‘情绪+受益人’的交叉切片。”安然说。
迟望把指节按在桌面：“只读观测，不拉闸。先打标记。”
他们把动作拆成四步：
1）影子会话标定：将异常流量按ASN+Ip段+UA指纹聚类，生成**“幽会话Id”（不影响正常用户）。
2）回执水印注入：在ApI响应体的JSoN冗余区塞入一枚“只读水印”（不可见字段 _rzhash），由服务端时钟签名；
3）采样回放：对幽会话Id的1\/20流量进行只读镜像**，封存到**“柜6—格05”；
4）第三方契约校验：对照“公共数据使用白名单”，标注“超范围画像调用”**。
安然敲下回车，监控台右上角亮起一枚小绿点：_rzhash=on。
“我们不拦他，我们在他手心里写名字。”迟望的语气像刀刃蹭过玻璃。
00:43，异常调用开始“吃水印”。他们看见对方在十个字段里采“情绪温度\/共振词\/地域标签\/设备画像\/捐赠偏好”，拿去拼用户侧“公益倾向分”。
“画像平台在做‘可售的善意’。”苏砚赶到，吐出一句，“把‘善良’做成广告位。”
01:02，幽会话Id转入第二个节点：境外cdN回传“缓存命中”。
安然冷静地往**“证据室Socket”里丢‘水印落地包’**：
包头：幽会话Id
水印：_rzhash（时钟签名）
位次：ASN→cdN→下游Ip
hash落绿、并签跟上。
“水印不是侦查，是回执锚。”第三方法务低声确认。
01:15，对方开始降频，试探性抽取**“临床稳定度”匿名指标**；
迟望把**“Echo链”叠上，提示苏砚**：“午餐—城改—临床三件套，对方全要。**”
“好，钉到‘跨域数据经纪调查’那份里。”苏砚在白板写：
画像平台→第三方研究中心（共振）
画像平台→会所外联（清单匹配）
画像平台→广告主（投放白名单）
旁边加粗：“三角经纪链”。
02:03，下游Ip有了开口——一台数据经纪商的中转机以“公益广告优化”之名接收数据包。
安然推一份**《契约核验单》**到证据室：
授权范围：仅限公益统计（无个体画像）
合规条款：不得反向识别\/不得跨域出售
违规证据：_rzhash命中x187、跨域落地x43
纪南川当场起草**《限期自查通知》（72小时），并附“水印命中清单”**。
苏砚看着屏幕的线缓缓落下：“善意不卖。谁卖，我们在回执里写他名字。”
清晨，合唱团发长图**《你在卖好人，这不是好事》**：
异常qpS
_rzhash命中分布
三角经纪链
“契约核验单”