1. 课程导入与安全工程全景

数据共享与交换，指的是在两个或多个主体之间，按照约定的规则、格式与权限，把数据从一方传递到另一方并被对方使用的过程。它和“数据开放”“数据同步”“数据集成”这些词经常混用，但工程上要区分清楚：共享强调同一组织内部或可信伙伴之间按需访问；交换强调跨主体、跨系统、跨信任域的定向传递，通常带有明确的请求方、提供方、用途和时效。理解这一区别，是后续所有安全设计的前提——共享更像“开门让人进来取”，交换更像“打包好、贴上封条、交给指定的人”。

先看几个真实业务场景。政务领域，公安、民政、税务之间核验人口与婚姻状态，属于典型的跨部门交换；医疗领域，医联体内医院调阅患者影像与检验报告，属于跨机构共享；金融领域，银行与征信机构之间的信贷数据交互，既要满足风控又要满足个人信息保护；企业内部，数据中台向各业务系统供数，属于内部共享。这些场景的共同点是：数据一旦离开原始持有方，控制力就迅速下降，因此安全工程要解决的不是“能不能传”，而是“传给谁、传什么、传多少、传多久、传出去之后还能不能管住”。

安全挑战来自多个层面。第一层是身份与信任：跨域场景下，双方可能使用不同的身份体系，A系统的用户到了B系统如何被识别？第二层是授权与最小化：一次交换往往只需要“是否已婚”这一个布尔值，却可能把整张人口表传过去，这就是典型的过度共享。第三层是传输与存储：链路加密、字段级加密、密钥管理，任何一环薄弱都会导致泄露。第四层是使用控制：数据交付后是否被二次转发、是否被超范围使用，需要水印、审计、合约等技术约束。第五层是合规与审计：个人信息保护法、数据安全法、行业监管要求，都要求可举证、可追溯。

面对这些挑战，工程化思维的关键是把安全从“事后补救”变成“链路内建”。具体来说，就是把一次数据交换拆解为可设计、可实现、可测试的环节：需求确认、数据分类分级、参与方身份认证、授权策略制定、接口与格式约定、传输通道加固、交付后审计。每个环节都要有明确的输入、输出和验收标准，而不是笼统地说“做好安全”。下面这张图给出了一次典型跨域数据交换的安全链路全景，它把参与方、关键控制点和数据流向放在同一张图上，便于建立整体认知。

这张图要传达的核心信息是：安全不是某一个设备或某一段代码，而是贯穿提供方、交换通道、消费方的完整链路，并且由身份、授权、密码、审计、合规五类横向能力共同支撑。任何一次交换，只要其中某一环没有落实，整体安全性就由最薄弱的那一环决定。

接下来看课程路线图。本课程共30章，整体按“认知—设计—实现—运营”四个阶段推进。第一阶段建立全景认知，包括本章的定义、场景、挑战与工程化思维，以及数据分类分级、威胁建模等基础方法。第二阶段进入设计层，重点讲身份认证与联邦信任、授权模型（RBAC/ABAC）、隐私计算与脱敏、接口与格式安全。第三阶段是实现层，覆盖传输加密、密钥管理、API安全网关、数据水印与溯源、审计日志等具体技术落地。第四阶段是运营层，包括安全测试、监控告警、事件响应、合规评估与持续改进。每一章都会尽量给出可操作的参数、配置示例或判断依据，而不是停留在概念层面。

最后给出一个贯穿全课程的示例背景，后续章节会反复用到。假设某市建设“政务数据共享交换平台”，参与方包括市大数据局（提供方）、区民政局（消费方）和平台运营方。一次典型交换是：民政局因办理低保审核，需要核验申请人“是否已婚”和“户籍所在区”。交换方式为API调用，返回字段仅两个，时效为实时，授权有效期为单次。这个例子足够小，便于讨论；又足够真实，能覆盖身份、授权、传输、审计等全部环节。后续章节会围绕它逐步展开：如何认证双方身份、如何把授权限定到“这两个字段、这一次、这个用途”、如何保证传输不被篡改、如何留下可追溯的记录。带着这个具体场景去学，抽象的安全概念会更容易落地。

数据共享与交换的安全工程，本质上是在“数据要流动”和“数据要可控”之间寻找可实现的平衡。流动创造价值，可控守住底线。工程化思维的价值，就在于把这种平衡拆成一个个可以设计、可以实现、可以验证的环节，让安全成为交换能力的一部分，而不是交换的阻碍。