1. 安全设计基础：安全设计原则与SDL概述

各位同学，咱们今天聊的是整个课程的基石——安全设计原则和SDL。说实话，我见过太多产品上线后被攻破，回头一看，根因往往就是设计阶段埋下的雷。所以这一章，咱们得把地基打牢。

1.1 安全设计三大原则

这三个原则，我做了十几年安全，每次评审方案都会拿出来对照一遍。你想想看，如果设计时就把这三条刻在脑子里，后期能省多少补丁的功夫。

1.1.1 纵深防御（Defense in Depth）

别指望单点防护能挡住所有攻击。纵深防御，说白了就是“层层设卡，多道防线”。

我记得有一次评估一个物联网网关设备，软件团队只在应用层做了个简单的口令校验。我说：“如果攻击者绕过了应用层，直接读写Flash怎么办？”他们愣住了。后来我们加了安全启动、分区权限隔离、物理防篡改检测，这才算真正有了纵深。

每一层都可能被攻破，但多层叠加，攻击成本就指数级上升。这就是纵深防御的价值。

1.1.2 最小权限（Least Privilege）

这个原则听起来简单——只给完成任务所需的最小权限。但实践中，我见过太多“图省事”的设计。

我曾经审计过一个车机系统，所有进程都跑在root权限下。开发者的理由是“方便调试”。结果呢？一个蓝牙协议栈的缓冲区溢出，直接导致攻击者拿到了整车的控制权。嗯，这就是典型的权限滥用悲剧。

1.1.3 默认安全（Secure by Default）

产品出厂时的默认配置，必须是安全的。用户不需要额外操作就能获得基本的安全保护。这一点，很多团队都栽过跟头。

我记得有个路由器产品，出厂默认开启了Telnet、默认密码是admin/admin、默认WiFi加密是WEP。销售说“方便用户快速上手”。结果呢？上市两周就被爆出大规模入侵事件。这就是典型的“默认不安全”。

1.2 安全开发生命周期（SDL）概述

SDL不是一套工具，而是一套流程。它把安全活动嵌入到软件开发的每个阶段，而不是等到上线前才做安全测试。

我个人习惯把SDL分成五个阶段，每个阶段都有明确的安全活动：

阶段	核心安全活动	交付物
需求阶段	安全需求分析、威胁建模	安全需求文档、威胁模型
设计阶段	安全架构评审、攻击面分析	安全设计文档、攻击面清单
开发阶段	安全编码规范、静态分析	代码审计报告、SAST结果
测试阶段	动态测试、模糊测试、渗透测试	测试报告、漏洞清单
运维阶段	安全监控、应急响应、补丁管理	安全事件记录、补丁日志

你可能会问：“这么多活动，项目周期会不会拖得很长？”其实恰恰相反。早期发现安全问题的修复成本，比上线后低一个数量级。我在项目中算过一笔账：需求阶段发现一个设计缺陷，改一页文档就行；上线后才发现，可能要召回产品、重写固件、发安全公告……成本差几十倍。

1.3 知识体系总览

下面这张图，是我自己梳理的安全设计知识体系。它把三大原则和SDL流程串在了一起，方便你建立全局视角。

1.4 本章小结

这一章我们聊了三件事：

• 纵深防御：多层防护，别把鸡蛋放在一个篮子里
• 最小权限：给够用就行，别多给
• 默认安全：出厂即安全，别让用户替你擦屁股
• SDL：把安全嵌入开发流程，而不是事后补救

这些概念听起来简单，但真正落地的时候，你会发现每个原则背后都有大量的工程细节。后面的章节，我们会逐一深入这些细节，包括故障注入测试的具体手法、安全芯片的设计考量、以及如何在实际项目中平衡安全与性能。