跨时区业务必须统一UTC基准：系统设UTC时区并禁用本地RTC，chrony同步国内NTP源且偏移≤±10ms，auditd日志强制ISO 8601+0000格式，应用层存传UTC时间戳、前端渲染。
跨时区业务中，服务器时间不准或不统一，会导致审计日志时间错乱、故障定位困难、JWT/Kerberos令牌误判过期，甚至等保/GDPR合规项被否决。核心不是让每台机器“显示本地时间”，而是建立一个全链路可信、可验证、无歧义的UTC时间基准体系。
系统层强制使用UTC作为本地时区
所有服务器——无论部署在北京、法兰克福还是旧金山——都必须将系统本地时间设为UTC：
- 执行 sudo timedatectl set-timezone UTC，彻底避免 Asia/Shanghai、Europe/Berlin 等带偏移时区软链接残留
- 运行 sudo timedatectl set-local-rtc false，确保硬件时钟也按UTC解释（而非本地时间）
- 用 timedatectl status 验证：输出中必须同时出现 Time zone: UTC 和 RTC in local TZ: no
此时 date、journalctl、audit.log 默认打戳均为纯UTC，无需二次转换，日志天然对齐。
用chrony同步国内NTP源并持续监控偏移
UTC基准要稳，必须靠低延迟、高可用的时间同步服务。chrony比ntpd更适应云环境和网络抖动：
- 编辑 /etc/chrony.conf，配置至少两个国内可信源：
server ntp.aliyun.com iburstserver time1.tencentyun.com iburst - 添加关键参数：
makestep 1.0 3（启动时允许步进校正超1秒偏差）rtcsync（持续同步硬件时钟） - 停用冲突服务：sudo systemctl disable --now systemd-timesyncd
- 日常检查三要素：
–chronyc tracking：确认Offset稳定在 ±10ms 内
–chronyc sources -v：看到^*标记的活跃源且 LastRx < 5 分钟
–timedatectl status：显示 System clock synchronized: yes
auditd日志强制输出含+0000的ISO 8601格式
auditd默认记录内核时间（已是UTC），但很多解析工具（如ELK、Splunk、自研脚本）会误判为本地时间。必须让每条日志自身携带时区标识：
- 查询原始日志时，始终加 --format iso 参数：
ausearch --start yesterday --format iso→ 输出形如2026-05-25T14:22:08.123456+0000 - 若接入集中日志平台，在采集层（Filebeat processor 或 rsyslog 模板）生成带偏移字段，例如：
$!timestamp+0000或timestamp_utc字段，原始日志保持不变 - 禁止任何修改 auditd 源码、重写日志内容、或在规则中硬编码
-F auid!=unset类模糊条件的操作——这会破坏审计完整性，违反等保要求
应用与数据库层只存UTC，前端负责渲染
系统时区设为UTC，不等于用户看到UTC。职责必须分层解耦：
- 后端API响应时间字段统一为带Z的ISO字符串：
"created_at": "2026-05-25T09:17:33Z" - MySQL 使用
DATETIME存UTC值，连接层执行SET time_zone = '+00:00'
PostgreSQL 使用TIMESTAMP WITH TIME ZONE，并在postgresql.conf中设timezone = 'UTC' - 前端用浏览器原生能力自动适配：
new Intl.DateTimeFormat().resolvedOptions().timeZone获取用户时区，再用Intl.DateTimeFormat()渲染本地时间 - 严禁在PHP/Python/Java中调用
date_default_timezone_set("Asia/Shanghai")等硬编码操作——它会让同一套代码在不同服务器上行为不一致
