寻源系统常见难点：加密、回避与多轮报价

用途：处理寻源链路里最容易做错的三件事

一、报价保密（加密与开标）

需求：截止前任何人都不能看到报价，包括系统管理员与运维。

做法：

1. 报价字段在应用层加密后落库（密钥独立管理，不与数据库同权限域）。
2. 解密只在开标动作触发：定时自动或双人授权操作，解密行为本身留痕。
3. 备份与从库只拿到密文；日志、缓存、搜索结果不得出现明文报价。
4. 支持“开标后部分可见”：按角色控制可见范围（评审专家、采购经理、审计）。
5. 文件类投标用摘要固化（hash + 签名），验证完整性而非可解密性。

难点：密钥轮换、历史数据重解密、误操作回封（开标后发现问题需要能作废并重新开标，且保留前次痕迹）。

二、回避与关联识别

需求：与供应商存在利益关系的评审人/审批人必须回避。

数据来源与特征：

特征	说明
工商关联	任职、持股、法人重叠、母子公司
联系信息重合	电话、邮箱、地址与员工信息相同
账户重合	不同供应商共用收款账户（强信号）
文件同源	投标文件作者、修改记录、hash 相似
报价模式	报价梯度高度一致、轮流中标
主动申报	员工利益申报库（亲属、兼职、投资）

实现：命中即提示并要求确认（可解释地展示命中原因），最终裁决留人工记录；误报率必须可接受，否则规则会被绕过。

三、多轮报价与谈判

需求：允许供应商在限定轮次内调整报价，同时保证公平与可追溯。

设计要点：

1. 轮次状态机：每轮独立截止时间、提交窗口、可见性策略；轮次与报价记录关联（报价版本 = 轮次 + 序号）。
2. 信息对称：是否披露排名、是否披露最低价，必须全供应商一致，不能私下沟通。
3. 实质性变更控制：多轮只允许调整价格与商务条款，技术范围变更需回到补遗流程并通知所有方。
4. 并发与截止：服务端时间权威；截止瞬间的提交要有确定性结果（接受或拒绝，不能“看起来成功”）。
5. 历史不可见：上一轮报价对后续轮次的影响要按策略处理（是否允许供应商看到自己的历史价）。
6. 终止条件：达到目标价、轮次上限、供应商放弃，都要有明确状态与审批。

三者的共同要求

• 写路径强制：保密、回避、轮次控制都必须在服务端校验，前端限制不算数。
• 可复现：任何结论（谁中标、为什么这个价）都能用留痕数据重算。
• 例外有出口：作废、重新开标、递补都要有受控路径与审批，否则一线会直接改数据。

常见误区

误区	修正
靠权限控制报价可见性	权限可绕过，需加密 + 解密审计
回避只靠人工申报	结合关联数据自动提示
多轮报价覆盖同一记录	版本化保留每轮
截止判断用客户端时间	服务端权威时间
出问题直接改库	提供作废/重开流程并留痕

延伸阅读

• 本站：寻源流程与状态机、评标与专家机制、合规与审计要求
• 加密与密钥管理公开实践（KMS、信封加密模式）