📚 课程目录第1章安全挑战与协同架构概述

一、安全挑战与协同架构概述

各位同学好，我是老赵。今天咱们聊聊分布式系统里最让人头疼的几个安全问题。说实话，我在这个领域摸爬滚打了十几年，见过太多因为小疏忽导致大事故的案例。

现代分布式系统，说白了就是把一个系统拆成多个服务，部署在不同的机器上。这带来了灵活性，但也把攻击面扩大了。你想想看，服务之间要通信，用户要登录，设备要认证——每一个环节都可能成为突破口。

我习惯把分布式系统的安全威胁归纳为三类。这三类问题，几乎每个项目都会遇到。

会话劫持，这个最常见。我记得有一次做金融项目，对方用的是老旧的 Session 机制，没做任何绑定。攻击者通过 XSS 拿到一个管理员的 Session ID，直接在后台转账。嗯，那笔钱追回来了，但教训很深刻。

设备伪造，这个在 IoT 和移动端特别突出。我曾经遇到过一个智能门锁项目，攻击者伪造了设备的 MAC 地址和序列号，直接绕过了云端认证。你想想看，门锁都能被远程打开，这多可怕。

中间人攻击，说白了就是有人在通信线路上偷听。即使用了 HTTPS，如果证书验证不严格，或者内部服务之间用明文通信，照样能被截获。我在一个微服务架构的项目里就发现，服务间的 RPC 调用居然没做双向 TLS，内部数据等于裸奔。

⚠️ 避坑指南： 我曾经接手过一个项目，他们把 Session 和 Token 混为一谈，以为用了 JWT 就万事大吉。结果 Token 里没绑定设备信息，被盗用后完全无法追溯。记住：会话和身份是两回事，必须分开治理。

单独解决一个问题不难，难的是让它们协同工作。你想想看，如果只做会话隔离，不做设备认证，那攻击者换个设备照样能劫持会话。反过来，只做设备认证，不做会话隔离，那设备被攻破后所有会话都暴露了。

我个人的经验是，会话隔离和设备身份认证必须像锁和钥匙一样配合。会话隔离负责「谁在用」，设备认证负责「从哪用」。两者结合，才能构建完整的信任链。

举个例子，银行 App 的登录流程：

这样即使攻击者拿到了 Token，换个设备也用不了。说白了，就是让攻击成本翻倍。

做架构设计，我习惯先定原则。没有原则，后面就容易走偏。这里我总结了四条：

这四条原则，我在每个项目里都会反复强调。尤其是最小信任原则，很多团队觉得内部服务之间可以信任，结果一出事就是连锁反应。

下面这张图，是我自己画的分层模型。它把安全能力拆成了四层，每一层各司其职。

这张图我用了很多年，每次讲安全架构都会拿出来。你看，从下往上，每一层都依赖下一层提供的基础能力：

💡 核心观点： 这四层缺一不可。我见过不少团队只做网络层和会话层，忽略了设备层，结果被设备伪造攻击打得措手不及。记住，安全是木桶，最短的那块板决定整体水位。

说了这么多，到底怎么协同？我总结三个关键点：

举个例子，用户从常用设备登录，可以只做简单校验。但如果从新设备登录，就要触发多因素认证。这就是动态调整的思路。

📌 个人经验： 我在做电商平台时，把设备指纹和会话 Token 做了绑定。每次请求都会校验 Token 里的设备指纹是否和当前请求的设备指纹一致。不一致就触发二次认证。上线后，会话劫持攻击直接降为零。效果立竿见影。

这一章我们聊了分布式系统的三大威胁，也讲了为什么会话隔离和设备认证必须协同。最后给出了分层模型和设计原则。说白了，安全没有银弹，但有了清晰的架构和原则，至少不会走偏。