📚 课程目录第4章安全架构原则

4. 安全架构原则：最小权限、纵深防御、默认安全与零信任

各位同学，今天我们来聊聊安全架构里最核心的几个原则。说实话，我见过不少系统，功能做得花里胡哨，安全却一塌糊涂。为什么？因为很多人把安全当成事后补丁，而不是一开始就融入架构的血肉里。

我个人习惯把安全原则比作房子的地基。地基不稳，装修再豪华也没用。今天这四个原则——最小权限、纵深防御、默认安全、零信任——就是安全架构的四根承重柱。

最小权限，说白了就是：每个主体只拥有完成其任务所必需的最小权限。多一分都不给。

我在项目中遇到过一件事：一个内部运维脚本，本来只需要读取日志文件，结果给了它 root 权限。后来脚本被利用，整个生产库被删了。嗯，血的教训。

核心要点：

你想想看，一个电商系统的订单查询接口，如果给了全部订单的查询权限，那一个普通用户就能看到 CEO 的购物记录。这合理吗？

我的习惯：设计权限模型时，先画一个「权限矩阵」，把每个角色、每个操作、每个资源都列出来。然后一刀切：只保留对角线上那些「必须」的权限。

纵深防御，就是多层防护，层层设卡。别指望一道防火墙就能挡住所有攻击。

我曾经参与过一个金融系统的安全审计。他们只在入口处放了一个 WAF，内部网络完全扁平。结果攻击者绕过 WAF 后，就像进了无人之境。这就是典型的「单点防御」失败案例。

纵深防御应该怎么做？我画了一张图，你看一眼就明白了：

看到没？攻击者要突破五层才能拿到数据。就算他过了防火墙，还有主机安全等着；过了主机，还有应用安全；过了应用，数据还是加密的。这就是纵深防御的精髓。

避坑指南：我曾经见过一个团队，在每一层都用了同一个厂商的产品。结果一个漏洞就全层沦陷。纵深防御的「纵深」不仅指层数，还指技术栈的多样性。不同层用不同厂商、不同技术，才能避免「一损俱损」。

默认安全，就是系统在默认配置下就是安全的。用户不需要额外配置就能获得基本的安全保障。

你想想看，一个数据库安装完，默认端口是 3306，默认账号是 root，默认密码为空。这叫什么？这叫「默认不安全」。真正的默认安全应该是：安装完就要求改密码，非本地访问默认拒绝，加密默认开启。

我记得有一次帮一个创业团队做安全评审。他们的 API 网关默认允许所有跨域请求。我问为什么，他们说「方便调试」。嗯，方便是方便了，但攻击者更方便。这就是典型的「默认不安全」思维。

我的建议：设计任何系统时，先问自己一个问题——「如果用户什么都不配置，这个系统安全吗？」如果答案是否定的，那就改设计。

零信任，是近几年最火的安全架构模式。它的核心思想很简单：不再区分内网和外网，默认不信任任何请求。

传统安全模型是「内网安全，外网危险」。但现实是，内网攻击占了 60% 以上。你想想看，一个员工被钓鱼了，攻击者拿到内网权限，然后呢？内网畅通无阻。这就是传统模型的致命缺陷。

零信任的三个核心原则：

我参与过一个零信任落地项目，架构大概是这样的：

这个流程里，每个请求都要经过 PEP 拦截，PDP 决策，策略引擎综合判断。没有「内网特权」，没有「默认信任」。我见过一个银行落地零信任后，内部横向移动攻击直接降了 80%。

零信任落地关键点：

这四个原则不是孤立的。它们是一个整体：

我习惯在架构设计时，用一张表来检查这四个原则的落地情况：

最后提醒一句：安全架构不是一次性工作。系统在变，威胁在变，你的安全策略也要跟着变。定期做安全评审，别让今天的「安全」变成明天的「漏洞」。