4. 策略命中率定义：命中率的计算公式、有效授权与无效授权的区分、理想命中率区间
策略命中率是衡量 RBAC 策略在 Serverless 控制面中实际生效程度的核心指标。它直接反映策略配置的精准度与冗余度，是策略审计与优化的重要依据。本节将给出命中率的标准化计算公式，严格区分有效授权与无效授权，并定义不同场景下的理想命中率区间。
4.1 命中率计算公式
策略命中率定义为：在给定时间窗口内，被实际触发的有效授权次数与策略总评估次数的比值。公式如下：
命中率（Hit Rate）= (有效授权次数) / (策略总评估次数) × 100%其中：
- 策略总评估次数：控制面在指定周期内对该策略进行的所有鉴权评估请求总数（含允许与拒绝）。
- 有效授权次数：评估结果为“允许”且该次访问确实被策略意图所覆盖的次数（即非误放、非冗余匹配）。
在实际计算中，通常按策略粒度（单个 RBAC Role/ClusterRole）或按资源粒度（特定命名空间、API 组）分别统计。以下为分维度统计示例：
| 统计维度 | 总评估次数 | 有效授权次数 | 命中率 |
|---|---|---|---|
| Role: namespace-dev | 12,450 | 11,830 | 95.0% |
| ClusterRole: view | 87,200 | 52,100 | 59.7% |
| Role: ci-pipeline | 3,200 | 3,180 | 99.4% |
实践提示： 建议按 Role/ClusterRole + 命名空间 组合建立命中率基线。对于命中率低于 60% 的策略，优先纳入复核清单。
4.2 有效授权与无效授权的区分
并非所有“允许”结果都算有效授权。必须根据策略的设计意图与实际访问模式进行交叉验证。区分标准如下：
有效授权（Valid Authorization）
- 意图匹配： 该次访问的资源、操作、身份完全落在策略预期的范围内。
- 最小权限合规： 授权粒度未超出该主体完成工作所需的最小权限集。
- 无冗余覆盖： 该授权未被其他更高优先级的策略重复允许（即非重叠授权）。
无效授权（Invalid Authorization）
- 误放（False Positive）： 策略允许了本应拒绝的访问（如因通配符过宽、绑定范围过大导致）。
- 冗余授权（Redundant Grant）： 该访问已被另一条策略允许，当前策略的匹配属于重复授权，不增加实际权限但增加评估开销。
- 僵尸授权（Zombie Grant）： 策略允许的访问模式在最近 90 天内从未被实际使用，属于过期或未清理的权限。
关键区分： 有效授权 = 允许 + 意图匹配 + 最小权限合规；无效授权 = 允许 + 误放 / 冗余 / 僵尸。仅统计“允许”次数会严重高估策略的实际价值。
4.3 理想命中率区间
理想命中率并非固定值，而是根据策略类型与使用场景动态定义。以下为 Serverless 控制面中三类典型策略的理想区间：
| 策略类型 | 典型用途 | 理想命中率区间 | 说明 |
|---|---|---|---|
| 精确绑定策略 | 为特定 ServiceAccount 绑定最小权限（如只读、只写） | 95% – 100% | 高度定制，几乎每次评估都应命中有效授权 |
| 通用基础策略 | 集群范围的只读、监控、日志采集等 | 70% – 90% | 允许一定冗余，但需避免大面积误放 |
| 应急/宽泛策略 | 故障排查、紧急运维、临时调试 | 30% – 60% | 容忍较低命中率，但必须设置 TTL 自动回收 |
注意： 命中率低于 30% 的策略应视为“高风险低效策略”，需立即触发复核流程。此类策略通常包含大量未使用的通配符权限或已废弃的绑定关系。
4.4 命中率与误报率的关系图
下图展示了命中率与误报率在策略生命周期中的典型分布关系，帮助理解不同区间对应的策略健康状态：
4.5 命中率复核流程
为确保命中率统计的准确性，建议按以下步骤进行周期性复核：
- 采集原始评估日志： 从 API Server 审计日志中提取所有 RBAC 评估记录，包含请求者、资源、操作、决策结果。
- 标记有效/无效授权： 基于策略意图文档与历史访问模式，对每条“允许”记录打标（有效/误放/冗余/僵尸）。
- 计算分策略命中率： 按公式逐策略计算，排除无效授权后得到真实命中率。
- 对比理想区间： 将计算结果与 4.3 节定义的区间对照，标记偏离策略。
- 触发优化动作： 对低于理想区间的策略执行收缩、合并或删除操作；对高于区间的策略确认无过度授权风险。
最佳实践： 将命中率复核纳入 Serverless 控制面的 CI/CD 策略门禁。每次策略变更后自动计算命中率变化，低于阈值则阻断合并。