刘好仃把那条隐藏的同步指令又看了一遍，手指在回车键上轻轻敲了一下，像是给这句话点了句号。他没关页面，也没切换窗口，只是把文档拖到屏幕左边，右边打开项目管理系统的空白模板。茶杯还摆在桌角，空的，但这次他没打算去续水。

小李进门的时候，手里捏着半块没吃完的馒头，看见刘好仃已经在动，愣了下：“您这么早就开始啦？”

“不是早。”刘好仃头也没抬，“是还没停。”

小李咽下一口干粮，凑过去看屏幕：“那条‘自动同步’的事儿，真得管管了。咱们系统现在像一辆自己会换轮胎的车，可没人告诉它什么时候该停下检查。”

“所以得装个刹车。”刘好仃说着，在新文档第一行写下：**生产环境变更双签制（草案）**，“不是信不过谁，是别让一个人扛整辆车。”

王工从门口探进半个身子，工服袖子卷到胳膊肘：“开会？我只能待十分钟，客户催整改报告。”

“正好。”刘好仃点开投影共享链接，“就十分钟，说三件事。”

陈工也连了进来，声音比昨天稳了些：“我在。”

“先看这个。”刘好仃切到日志截图，放大那条被折叠的操作指令，“三天前，一次‘局部测试’改了字段名，顺手推上了生产库。没人知道，直到报表断了。”

小李皱眉：“这不是疏忽，是漏洞。”

“对。”刘好仃点头，“问题不在改不改，而在——谁能改？改了谁该知道？怎么拦住不该走的路？”

王工搓了搓手心：“听着是要加流程，可咱们现在响应速度刚提上来，再添审批环节，会不会又慢回去？”

“快和乱不是一对双胞胎。”刘好仃调出一张表格，“过去三个月，类似结构性变更一共七次，四次没通知相关组。每次出问题，平均修复耗时两小时十七分钟。而如果提前报备，预估能省掉八成排查时间。”

“那也不能一竿子打死所有更新吧？”小李插话，“功能迭代总得灵活点。”

“当然。”刘好仃划出一条分界线，“日常功能发布走快速通道，照旧。但凡涉及数据库结构、字段命名、接口定义这类‘动骨架’的操作，必须两人确认——一个发起，一个审核。我们叫它‘双签制’。”

“听起来靠谱。”王工点点头，“谁来审？”

“初期定三个主责人：你、陈工、我。”刘好仃说，“系统层面设规则，没双签，变更包直接卡住，发不出去。”

小李眼睛亮了：“这等于给高风险操作上了锁。”

“锁不怕多。”刘好仃笑了笑，“怕的是钥匙只在一个人口袋里。”

陈工沉默了几秒，开口：“那天是我提交的，我没走流程。这事儿……我不推。”

“没人让你认错。”刘好仃语气平平，“我们要建的是机制，不是批斗会。你愿意担责，说明有心；但我们更需要的是——就算换了人，这套东西照样转得起来。”