3. 动态校验核心概念：静态校验 vs 动态校验、运行时上下文感知、策略即代码
在权限矩阵校验的演进过程中，静态校验与动态校验代表了两种截然不同的安全思维。前者在构建阶段锁定权限快照，后者在运行时结合上下文实时裁决。理解二者的差异，是设计合规边界的第一步。
3.1 静态校验 vs 动态校验
| 对比维度 | 静态校验 | 动态校验 |
|---|---|---|
| 校验时机 | 代码提交、构建、部署前 | 运行时请求到达时 |
| 数据来源 | 配置文件、代码仓库、CI 变量 | 请求上下文、会话、环境变量、外部策略引擎 |
| 上下文感知 | 无（仅检查声明式权限） | 强（IP、时间、角色、资源状态） |
| 变更响应 | 需重新提交/部署 | 实时生效 |
| 性能开销 | 低（离线扫描） | 中（需策略引擎裁决） |
| 典型工具 | Open Policy Agent (Rego 静态检查)、Snyk | OPA Gatekeeper、AWS IAM Policy Simulator |
关键结论：静态校验是“门禁”，确保不合规的代码无法进入流水线；动态校验是“警卫”，在运行时根据真实场景执行细粒度裁决。二者互补，不可替代。
3.2 运行时上下文感知
动态校验的核心能力在于运行时上下文感知。它不再依赖固定的权限列表，而是根据请求发生时的多维信息实时计算授权结果。
- 身份上下文：用户角色、组织层级、临时令牌、OAuth Scope。
- 环境上下文：请求来源 IP、地理区域、设备指纹、浏览器类型。
- 资源上下文：资源所属项目、敏感等级、当前状态（草稿/已发布/已归档）。
- 时间上下文：请求时间是否在合规窗口内、是否触发频率限制。
- 行为上下文：用户历史操作模式、当前会话异常评分。
实践建议：在 CI/CD 流水线中，动态校验应至少捕获 身份 + 环境 + 资源 三个维度的上下文。例如：仅允许
devops-team 角色的成员在 09:00-18:00 时段从 公司 VPN 对 生产环境 执行部署操作。
3.3 策略即代码 (Policy as Code)
策略即代码将安全策略从人工审批、Wiki 文档、硬编码逻辑中解放出来，以声明式代码的形式纳入版本管理、CI/CD 扫描和自动化测试。它是动态校验的“规则引擎”。
3.3.1 核心原则
- 声明式：策略描述“允许什么”，而非“如何实现”。
- 版本化：策略文件与代码库共存，支持 Git 历史追溯。
- 可测试：策略可编写单元测试，确保逻辑正确。
- 可审计：每次策略变更都有记录，满足合规审计要求。
3.3.2 策略即代码示例（Rego 语言）
package deployment.policy
# 允许 devops-team 角色在 09:00-18:00 部署到生产环境
allow {
input.role == "devops-team"
time_in_range("09:00", "18:00", input.request_time)
input.environment == "production"
input.source_ip in trusted_cidr_blocks
}
trusted_cidr_blocks := ["10.0.0.0/8", "172.16.0.0/12"]
time_in_range(start, end, current) {
current >= start
current <= end
}
常见陷阱：策略即代码不等于“把权限写在 YAML 里”。真正的策略即代码需要具备逻辑运算能力（如 Rego 的集合操作、循环、条件分支），否则无法处理复杂的运行时上下文。简单的 YAML 列表只能用于静态校验。
3.4 动态校验在流水线中的落地模式
在 CI/CD 流水线中，动态校验通常以准入控制器或策略代理的形式嵌入。以下表格总结了三种常见部署模式：
| 模式 | 部署位置 | 适用场景 | 延迟影响 |
|---|---|---|---|
| Sidecar 代理 | 与微服务同 Pod | 细粒度 API 权限校验 | 低（本地缓存策略） |
| 集中式策略引擎 | 独立服务 | 跨服务统一权限管理 | 中（网络调用） |
| CI 阶段钩子 | Jenkins/GitLab CI 步骤 | 部署前合规门禁 | 低（离线校验） |
推荐组合：在 CI 阶段使用 静态校验 扫描策略文件语法和逻辑错误；在 CD 阶段使用 动态校验 结合运行时上下文做最终授权。二者形成“左移 + 运行时”的双层防护。