1. 安全概述：系统集成中的安全实践

1.1 系统集成安全的重要性

在系统集成项目中，安全不再是可选项，而是决定项目成败的基石。随着企业数字化转型的深入，异构系统、云服务、API 网关与遗留系统的互联互通，使得攻击面急剧扩大。一次安全事件可能导致数据泄露、业务中断、合规罚款与品牌声誉的毁灭性打击。

核心观点： 安全必须从集成设计的第一天开始嵌入，而非在系统上线后“打补丁”。

风险维度	系统集成中的典型表现	潜在后果
数据泄露	接口未加密、日志暴露敏感字段	GDPR/等保罚款、客户流失
身份冒用	OAuth 流程缺陷、令牌硬编码	未授权访问、数据篡改
服务中断	DDoS 攻击、消息队列溢出	业务停摆、SLA 违约
供应链污染	第三方库漏洞、CI/CD 投毒	后门植入、全系统沦陷

1.2 安全威胁模型：STRIDE

STRIDE 是由微软提出的经典威胁建模框架，帮助安全团队系统性地识别每项资产可能面临的六类威胁。在系统集成场景中，每个接口、每条消息、每个令牌都应经过 STRIDE 审视。

威胁类型	英文	集成场景示例	防护措施
S 欺骗	Spoofing	伪造 JWT 令牌、冒充合法服务	双向 TLS、OAuth 2.0 + PKCE
T 篡改	Tampering	中间人修改 API 请求体	请求签名、完整性校验 (HMAC)
R 抵赖	Repudiation	用户否认发起过转账操作	不可否认性日志、数字签名
I 信息泄露	Information Disclosure	日志打印信用卡号、响应过度暴露	数据脱敏、最小化输出
D 拒绝服务	Denial of Service	消息队列被恶意填满、API 雪崩	限流、熔断、队列监控
E 权限提升	Elevation of Privilege	普通用户通过 API 漏洞获取管理员权限	RBAC、权限分级校验

1.3 安全设计原则

🔹 最小权限原则 (Principle of Least Privilege)

任何用户、进程或系统组件只应拥有完成其任务所必需的最小权限集。在系统集成中，这意味着：

API 令牌：仅授予调用特定端点的 scope，避免使用全功能令牌。
数据库账户：集成服务只拥有对特定表/视图的 SELECT/INSERT 权限，不授予 DDL 权限。
消息队列：生产者只能写入特定 topic，消费者只能读取授权队列。
临时凭证：使用 STS 或 Vault 动态下发短期凭证，避免长期密钥。

🔹 纵深防御 (Defense in Depth)

不依赖单一安全机制，而是构建多层防护网，使攻击者突破一层后仍有后续防线。典型的纵深防御架构包括：

层级	防护措施	集成场景示例
网络层	防火墙、VPC、安全组	仅允许集成网关 IP 访问后端
身份层	OAuth 2.0、mTLS、SSO	服务间调用使用 SPIFFE 身份
应用层	输入校验、WAF、速率限制	API 网关校验 JSON Schema
数据层	传输加密(TLS)、存储加密(AES-256)	数据库列级加密、字段脱敏
审计层	全量日志、异常检测、SIEM	集成链路追踪 + 审计日志

1.4 安全设计原则实践清单

在系统集成架构设计评审中，建议对照以下清单逐项检查：

默认拒绝：所有访问默认拒绝，仅显式允许的流量可通过。
安全通信：所有服务间通信强制使用 TLS 1.3，证书自动轮换。
凭证动态化：禁止硬编码密钥，使用 Secrets Manager 或 Vault 动态获取。
最小暴露：集成接口仅暴露必要端点，内部服务不对外暴露。
可审计：所有跨系统操作记录不可篡改的审计日志。
失效安全：安全机制失效时，系统应进入拒绝服务状态而非开放状态。

# 最小权限示例：API 令牌 scope 定义
{
  "token_type": "Bearer",
  "scope": "read:orders write:inventory",
  "expires_in": 3600,
  "resource": "https://api.example.com/v2"
}

# 纵深防御示例：API 网关配置片段
upstream backend {
  server 10.0.1.10:443;
  tls_verify_depth 2;
  rate_limit 1000/s;
  jwt_validation on;
  audit_log on;
}

系统集成安全不是单一技术问题，而是贯穿架构设计、开发、部署、运维全生命周期的系统工程。STRIDE 帮助我们系统化地发现威胁，最小权限与纵深防御则提供了构建可信集成系统的设计蓝图。

📚 课程目录