题干与适用场景
你的 B2B SaaS 客户希望在诉讼或内部调查期间保留特定用户产生的数据，即使普通保留期限到期或用户删除数据，也不能让被保全内容消失。请判断是否做法律保全，给出目标客户、数据范围、权限、审计、成本和上线策略。
法律保全不是把所有数据永久归档。Google Vault 将保全用于法律或调查目的，Microsoft Purview 也把保全纳入电子取证能力；Amazon S3 Object Lock 则展示了对象级法律保全与保留期限的不同语义。产品决策需要把“保存”定义成可验证的控制，而不是一个营销开关。
面试官考察点
面试官关注你能否区分法律保全、普通 retention、备份和导出；能否识别管理员越权、删除竞态、跨区域合规、存储成本和证据完整性；能否把复杂法律需求拆成可交付 MVP，并设置误用和解除保全的护栏。
回答前需要澄清的问题
- 哪些客户、地区和行业有明确的保全需求，是否已有法律顾问参与？
- 保全对象是用户、空间、消息、文件版本，还是事件时间范围？
- 保全是否阻止最终物理删除，还是只保证可检索的副本？
- 谁能创建、查看、修改和解除保全，是否需要双人审批？
- 客户需要导出证据、保留链和服务等级承诺吗？
30 秒回答框架
“我会先验证少数受监管客户的真实案件和付费意愿，再把保全定义为范围明确、默认不可静默绕过、全程可审计的控制。MVP 只覆盖一种数据类型和少数租户，先做创建、审批、检索、导出和解除流程；用保全命中率、误删拦截、检索时延、存储成本和支持工单验证价值。法律保证、跨区域数据和不可逆删除风险未被确认前不承诺永久保存。”
分步骤深入解答
第一步：确认问题与客户价值
访谈法务、合规负责人、IT 管理员和实际取证人员，收集最近案件、当前手工流程、失败后果和预算。将客户分成“必须保全”“需要更长 retention”“只需导出”三类，避免把不同需求塞进同一功能。
第二步：划定保全语义
定义保全范围、起始时间、查询条件、版本规则和解除条件。数据被用户删除后，应从用户界面消失还是仍可被授权取证人员检索，必须写成可测试的状态机。普通 retention 到期时，保全优先级如何计算也要明确。
第三步：设计最小可行产品
MVP 可选择文件和消息两类对象，支持按用户或案件创建保全、审批、查看命中范围、导出清单和解除。每个动作记录操作者、原因、时间和前后状态；保全列表应能发现重叠案件，避免一个案件解除时误删另一个案件仍需要的数据。
第四步：处理权限与误用
客户管理员不能默认读取内容。将案件管理员、审计查看者和导出执行者分权，并支持强制双人审批、短时授权和异常告警。禁止通过修改系统时间、删除租户或绕开单一入口解除保全；高风险动作应可回放。
第五步：评估成本与合规边界
保全可能阻止生命周期删除，增加主存储、索引、备份和导出成本。按保全对象和预计保存时长估算增量成本，向客户展示配额和超额计费。数据驻留、加密密钥、分区删除和供应商子处理者必须由法务确认，产品不替客户作法律结论。
第六步：制定指标与发布门槛
先用设计合作客户进行沙盒验证，再小范围灰度。核心指标包括创建成功率、命中数据准确率、解除后删除延迟、导出完整性、误删拦截数、支持工单和每个保全对象成本。发布前必须通过删除竞态、重叠案件、权限撤销、备份恢复和跨区域场景演练。
高质量示范回答
我会把法律保全定位为受控的证据保存能力，而非永久归档。先用案件访谈验证高价值客户，再定义对象、版本、时间和解除语义；MVP 覆盖有限对象、创建审批、命中预览、导出和审计。权限上分离案件管理、查看和导出，并处理重叠保全。用准确率、误删拦截、删除延迟、成本和支持量做灰度门槛。涉及驻留、加密和法律保证的部分交给法务确认，避免产品承诺超出可验证能力。
常见错误
- 把保全等同备份 → 备份未必可检索、可审计或按案件导出 → 先定义证据语义。
- 一开始支持全数据类型 → 权限、索引和成本无法控制 → 选择高价值对象做 MVP。
- 只设计创建按钮 → 解除、重叠和删除竞态会造成证据丢失 → 用完整状态机和演练覆盖。
- 承诺永久保存 → 法规、驻留和成本约束未被验证 → 把保证写成可测试 SLA。
- 让一个管理员包办所有动作 → 越权和内部滥用难以追溯 → 分权、审批和不可篡改审计。
追问及应对
追问一：客户要求用户删除后仍永久保留，怎么办？
先确认合同、法规和数据分类，再定义保全优先于普通删除的边界。提供可审计的例外流程和最终清除证明，不在没有法律依据时承诺永久保留。
追问二：两个案件同时保全同一份文件，解除一个会怎样？
把保全作为引用集合而非单一布尔值。只有最后一个有效案件解除，且删除策略允许时，数据才进入普通生命周期；界面要显示来源案件和冲突状态。
追问三：如何证明保全没有漏数据？
记录命中查询、快照版本、索引延迟和导出校验值，提供抽样回放与失败告警。与客户共同定义“完整”的范围，不能只用导出文件数量替代证据完整性。
追问四：为什么不直接接入第三方电子取证平台？
先比较集成成本、数据驻留、权限同步和客户已有合同。若客户只需导出，集成可能比内建保全更快；若保全需要阻止底层删除，平台仍必须在数据源侧提供可验证控制。