org.settings.read，修改需要 org.settings.manage；审计 需要 audit.read。审计记录的保留期属于平台设置。
加密密钥
加密密钥 列出工作区的数据密钥，包括算法、版本和上次轮换时间。数据流第一次写入加密字段时，MoleSignal 会自动创建对应的密钥，名称为__field_default__。每把密钥都由根密钥 MS_CIPHER_KEY 包裹，密钥材料不会离开服务端。
正则模式
正则模式用于找出银行卡号、Token 等敏感文本并替换掉。- 点击 新建模式。
- 填写 名称、正则 和 描述。保存时服务端会校验正则。
- 填写 替换为。支持
$1等捕获组；留空则删除命中的片段。 - 用 写入时脱敏 选择生效位置，然后点击 创建。
mask() 应用工作区的全部正则模式。列表的 脱敏 列为每个模式显示 写入时 或 仅查询。
字段遮掩
字段遮掩在查询结果中隐藏字段值的一部分，查询仍基于原始值计算。它不作用于指标数据流。- 点击 新建规则 并填写 规则名称。
- 字段匹配：精确的字段名，或带
*、?通配符的名称，例如user.*。不支持正则表达式。 - 可以用 数据流匹配（例如
customer-*）和 数据流类型 缩小范围。 - 选择 算法，保持 启用规则 开启并保存。
字段命中的第一条启用规则生效，拖动行可以调整顺序。数据流的字段设置可以覆盖继承的规则，或为某个字段关闭遮掩。
域名管理
域名管理 让工作区通过自己的域名访问，证书由 MoleSignal 自动申请和续期。- 启用
[http.tls]并填写account_email。参见 HTTP TLS 与 ACME。 - 把域名的 DNS 指向 MoleSignal，使 ACME 服务能通过明文 HTTP 端口访问
/.well-known/acme-challenge/。 - 点击 添加域名，填写 域名，再点击 添加域名。
pending，签发后变为 active。证书会在到期前 30 天内自动续期。移除域名后不再为它提供服务。
审计
审计 搜索工作区的审计记录：与安全相关的操作，以及对资源和设置的修改，每条记录包含操作者、动作、目标、状态和时间。
点击 应用 搜索，重置 清空筛选条件。点击某一行查看完整事件并 复制 ID。Mole Agent 对话的事件会显示该对话的历史。页面顶部说明记录保留多久；修改保留期限 会打开
_sys 中的平台设置。
凭证、模型密钥、敏感的 Webhook 请求头和签名材料都不会出现在审计记录中。参见审计。