那张错误付款指令，是用正确密码发出的。


    星期一上午九点二十三分，支付模拟机在纸带打印机上吐出一行字：账户hm-003向供应商a支付八百元，授权通过。


    机器没有联网，钱也没有真的转走。可负责测试的高经理看到打印纸，脸色仍一下沉了。


    “我没下这条指令。”他说。


    系统记录显示，登录名属于他，密码一次输入正确，终端也是华北技术资料服务部办公室里那台测试电脑。从当时约定的三个条件看，机器有充分理由相信操作者就是高经理。


    “谁知道密码？”马飞问。


    高经理没有马上回答。


    办公室里几名业务员互相看。送过锦旗的年轻人小声说：“大家都知道。”


    “什么叫大家？”


    “高经理把密码写在电话本封底。他出差时，要我们替他查状态。”


    高经理拍了一下桌子：“查状态，不是付款！”


    “系统里只有一个账号。”年轻人说，“查和付都是进去以后点。”


    操作人很快找到了，是负责采购的老杜。他不是故意冒充老板，也不是想偷钱。供应商催得急，高经理在外面开会，老杜认为这笔八百元样品费早已口头同意，就拿共用密码发出了模拟指令。


    “以前我拿你的章去盖采购单，不也是这样？”老杜说。


    “章在财务柜里，要登记！”


    “密码就在电话本上。”


    争执像一根火柴，把办公室几个月来依赖熟人和口头命令维持的习惯全照亮了。高经理觉得下属越权，老杜觉得自己只是替老板办事。星辰的系统则把两个人压成同一个登录名，连争议从哪里开始都无法解释。


    马飞取消了当天剩余测试。


    陈维明不赞成：“这是模拟，错了就改。三个客户都约好了，停一天又得重新排。”


    “正因为还没动真钱，才有资格停。”


    “密码共享是客户管理问题。”


    “系统把知道密码当成有全部权力，也是我们的问题。”苏雨桐说。


    她把错误指令、口头采购同意和电话本密码分别写在三张纸上。第一张证明系统做了什么，第二张证明业务上可能有购买意图，第三张只证明某个人知道一串字符。三张纸不能互相替代。


    “身份不是密码。”她在黑板顶端写，“身份回答是谁，授权回答他能做什么，意愿回答他这一次是否真的要做。”


    高经理仍在气头上：“说得容易。难道每次付八百块，我都亲自跑回来？”


    “可以给老杜自己的身份和采购权限。”


    “他要是乱付呢？”


    “超过额度再由你确认。权限不该靠共用一个老板密码解决。”


    老杜站在门边，脸色也不好看。他工作十几年，第一次被一台电脑明确告诉自己既不是高经理，也不能因为过去常替老板盖章，就自动拥有所有数字权限。


    午休时，华北资料部食堂只有土豆炖白菜。众人端着铝饭盒坐在院里吃。高经理与老杜隔着两张桌，谁也不看谁。送锦旗的年轻人偷偷告诉小郭，老杜的妻子前几天住院，他急着把样品订下来，是想早点下班去送饭。


    这个理由不能让越权变成正确，却让“恶意操作”四个字显得不合事实。


    苏雨桐端着饭盒走到老杜旁边，问他若系统给了自己的账号、八百元以内采购权，并记录每笔用途，他愿不愿使用。


    “愿意。”老杜说，“可高经理出差，超过八百怎么办？”


    “电话确认只是第一步，还要有能留证的方式。传真签字、预先批准的采购单，或者两个人共同确认。”


    “手续多了，货会慢。”


    “是。”


    苏雨桐没有承诺既绝对安全又毫不麻烦。她只问，哪些采购真急，哪些可以提前列计划。老杜想了一会儿，说大多数不急，是大家总等供应商催到最后才办。


    下午，星辰把模拟账户从“一个单位一个密码”改成“一个实际操作人一个身份”。高经理、采购、财务各自登记，权限分开。查询状态不等于可以付款；制单不等于可以授权；授权也不等于银行已经执行。


    最麻烦的是身份怎么确认。


    一九九九年没有随处可用的智能手机，也没有成熟的统一网络身份。电子邮件可能共用，电话可能由前台接，身份证复印件能证明某个名字存在，却不能证明此刻坐在电脑前的就是那个人。


    林海提出给每个测试人发一张编码卡，首次登记时当面核对，密码加编码卡共同使用。卡丢失必须挂失，补发后旧卡失效。


    “卡也能借。”小郭说。


    “能。”林海回答，“钥匙也能借。区别是每个人有自己的钥匙，丢了知道作废哪一把，不用全公司共用一把。”


    苏雨桐再加一层：付款金额、收款对象或常用方式发生显着变化时，不因登录成功就直接执行，要显示完整信息并再次确认。高额指令必须由不同角色复核。


    “什么叫高额？”陈维明问。


    “由参与单位根据实际业务设置，不由星辰统一拍脑袋。”


    “设置以后可以改？”


    “可以，但改权限本身也要复核并留记录。”


    一层套一层，像给每扇门又加门。有人觉得麻烦，有人觉得仍不够。马飞在讨论中不断想起前世火箭系统的授权链：自动程序根据传感器判断，地面人员拥有干预权，指挥岗位又受程序和窗口限制。任何一个“谁可以做什么”含糊，都可能在零点七秒里变成无法追回的后果。


    但他没有把支付做成火箭发射。八百元样品费需要与风险相称的保护，不能因联想到灾难就堆上十道审批，让系统无人愿用。


    “最小权限，风险上升时增加确认。”他说，“普通查状态别弄得像进保险库。真正付款才逐级检查。”


    晚上，苏雨桐回到合租房，发现自己的一封学校来信已经被拆开。房东大姐很尴尬，说信塞进门缝时与水费通知粘在一起，她没看名字就撕了。


    信里只是检索课题会议安排，没有秘密。可信封上的收件人明明写着苏雨桐，拿到同一扇门里的信也不代表有权拆开。


    房东不停道歉，提出以后所有信都放在窗台，不替任何人收。苏雨桐没有生气，只找来三个废纸盒，分别写上合租人的名字。公共地址不变，进入门后的边界却可以分开。


    她把这件事记在第二天的评审会上。


    “你拿房东做身份测试？”陈维明问。


    “我拿自己被拆开的信说明，共用入口不等于共同授权。”


    马飞注意到信封边缘被她用胶带重新粘好：“内容没事？”


    “没事。只是下周三回学校开会。”


    “几点结束？”


    “不知道。”


    他本想说晚了去接，又觉得学校到住处是她每天自己走的路。最后只说：“牡丹保温瓶还漏吗？”


    “换了木塞，不漏了。”


    一句笨拙的关心停在那里，没有变成替她安排生活。苏雨桐把粘好的信放进资料夹，继续审测试权限。


    一周后，华北资料部重新进行模拟。老杜用自己的身份制单八百元，系统显示金额、供应商与用途。他在权限内提交，财务核对采购计划，高经理不必亲自登录。另一笔一千五百元超过额度，系统进入待复核，没有因为老杜再次输入正确密码就放行。


    高经理在外地收到传真，签字确认后回传。星辰记录传真来源和人工核验，状态从待复核变为已授权。因为仍是模拟，最后一步只生成银行指令草稿，不实际划款。


    “慢了半天。”老杜说。


    “妻子那边耽误了吗？”苏雨桐问。


    “今天她出院。”他脸上第一次有了笑，“我下班去接。”


    高经理也没有追究第一次操作。他把电话本封底那串密码涂黑，撕下来当众烧掉。纸灰落进烟灰缸，仍能看见两个没烧净的数字。


    林海提醒，仅仅烧纸不够，旧密码必须在系统里作废。高经理骂了一句“你们真不懂仪式感”，还是当场完成了更换。


    错误付款指令被保留在模拟账里，没有删除。记录旁边写着：有效登录，身份混用，授权不成立，未执行真实资金。


    它不是一次黑客攻击，也不是某个人道德败坏。


    它只是证明，一个知道秘密的人、一个正在使用设备的人、一个被公司赋予职责的人和一个此刻真正同意付款的人，可能完全不是同一个人。


    密码能挡住不知道它的人。


    却不能替系统回答，门后站的是谁，他为何进来，又有没有权把这笔钱送出去。


    支付预研因此多了一条最基础也最难的原则：先承认身份无法被一串字符完全证明，再为权限、意愿和追责分别留下证据。