4. 流水线阶段划分：各阶段安全关注点
在 CI/CD 流水线中，后端合规边界的权限矩阵动态校验需要贯穿整个交付生命周期。不同阶段面临的安全威胁、校验对象和校验粒度存在显著差异。将流水线划分为 Source、Build、Test、Deploy、Post-Deploy 五个阶段，有助于针对性地设计权限校验规则，避免“一刀切”导致的过度授权或校验盲区。
核心原则：每个阶段的权限校验应遵循“最小必要、动态评估、上下文感知”原则。权限矩阵不是静态的 RBAC 表，而是随流水线上下文（分支、环境、制品版本、合规标签）实时演算的决策引擎。
4.1 Source 阶段：代码提交与分支保护
Source 阶段是权限矩阵校验的第一道防线。攻击者可能通过恶意提交、密钥泄露或分支绕过等方式注入非法代码。此阶段的安全关注点集中在 身份认证、分支策略、提交签名 三个维度。
| 安全关注点 | 校验对象 | 权限矩阵动态规则示例 |
|---|---|---|
| 提交者身份认证 | Git 提交者邮箱、SSH 公钥指纹 | 仅允许已绑定 LDAP/SSO 的账户提交到受保护分支 |
| 分支保护策略 | 目标分支名称、PR 审批状态 | main/release 分支必须经过 2 人 Code Review + 静态扫描通过 |
| 提交签名验证 | GPG 签名、Sigstore 证书 | 未签名提交自动标记为“不可信”，阻断进入 Build 阶段 |
| 密钥泄露检测 | 提交内容中的敏感信息模式 | 匹配 AWS Key/Token/Password 正则 → 自动拒绝并通知安全团队 |
4.2 Build 阶段：依赖与构建环境安全
Build 阶段是供应链攻击的高发区。攻击者可能通过篡改依赖包、注入恶意构建脚本或利用构建缓存投毒来绕过权限校验。此阶段的安全关注点聚焦于 依赖来源可信度、构建环境隔离、制品签名。
- 依赖来源校验：仅允许从内部可信仓库（如 Nexus/Artifactory）拉取依赖，阻断外部未知源。对每个依赖包校验 checksum 和 SBOM 签名。
- 构建环境隔离：每个构建任务运行在临时容器中，容器内禁止持久化凭证。构建代理的权限矩阵动态绑定到流水线 ID，避免跨任务越权。
- 制品签名：构建产物（JAR/WAR/Docker Image）在生成后立即使用流水线专属密钥签名，签名信息写入权限矩阵的“制品指纹”字段。
常见陷阱：部分团队在 Build 阶段使用“高权限服务账户”执行构建，导致构建脚本可以访问生产环境密钥。正确的做法是：构建阶段仅授予制品仓库的写入权限，所有敏感操作推迟到 Deploy 阶段，且必须经过二次授权。
4.3 Test 阶段：动态安全测试与合规校验
Test 阶段是权限矩阵动态校验的“验证场”。除了传统的功能测试，此阶段需要集成 SAST（静态应用安全测试）、DAST（动态应用安全测试）、SCA（软件组成分析），并将测试结果反馈给权限矩阵引擎，动态调整后续阶段的授权策略。
| 测试类型 | 校验目标 | 对权限矩阵的影响 |
|---|---|---|
| SAST | 代码中的安全漏洞（SQL注入、XSS） | 高危漏洞 → 阻断 Deploy 阶段，提升审批门槛 |
| DAST | 运行时 API 权限绕过 | 发现未授权访问 → 自动生成权限矩阵修正建议 |
| SCA | 第三方依赖的已知漏洞 | CVSS ≥ 7.0 的依赖 → 标记制品为“不可部署” |
| 合规扫描 | GDPR/PCI-DSS/SOC2 合规标签 | 缺少合规标签 → 拒绝进入生产环境 |
4.4 Deploy 阶段：环境准入与变更授权
Deploy 阶段是权限矩阵校验的“临门一脚”。此阶段需要根据目标环境的敏感等级（开发/测试/预发布/生产）动态计算授权阈值。生产环境的部署必须满足 多因素审批、时间窗口限制、变更关联 等条件。
最佳实践：将 Deploy 阶段的权限矩阵设计为“阶梯式授权”。例如：部署到开发环境仅需流水线触发者一人审批；部署到预发布环境需要技术负责人审批；部署到生产环境则需要安全负责人 + 业务负责人双重审批，且必须在变更窗口内执行。
- 环境准入校验：检查部署目标是否在权限矩阵的“允许部署列表”中，以及当前流水线上下文（分支、标签、合规等级）是否匹配环境准入规则。
- 变更关联校验：每个部署操作必须关联一个已审批的变更单（Change Request），权限矩阵引擎自动校验变更单的状态、审批链和时效性。
- 动态令牌注入：部署阶段使用的数据库密码、API 密钥等敏感信息，由权限矩阵引擎根据目标环境动态生成临时令牌，部署完成后立即失效。
4.5 Post-Deploy 阶段：运行时监控与权限回收
Post-Deploy 阶段是权限矩阵闭环的最后环节。部署完成后，需要持续监控运行时的权限使用情况，并根据监控结果动态调整权限矩阵策略。此阶段的安全关注点包括 运行时权限审计、异常行为检测、权限回收。
| 安全关注点 | 监控指标 | 权限矩阵动态响应 |
|---|---|---|
| 运行时权限审计 | API 调用频率、资源访问范围 | 发现越权调用 → 自动降权或隔离实例 |
| 异常行为检测 | 非工作时间部署、异常 IP 来源 | 触发安全事件 → 暂停该流水线的所有授权 |
| 权限回收 | 部署时间戳、会话有效期 | 部署完成 24 小时后自动回收临时令牌 |
| 合规报告生成 | 权限变更日志、审批记录 | 自动生成合规审计报告，推送至 SIEM 系统 |
关键提醒：Post-Deploy 阶段的权限回收经常被忽视。如果部署时注入的临时令牌没有及时回收，攻击者可以通过泄露的令牌长期维持对生产环境的访问。建议在权限矩阵中设置“令牌 TTL”字段，并在部署完成后启动异步回收任务。
4.6 五阶段权限矩阵对比总览
下表汇总了五个阶段在权限矩阵动态校验中的核心差异，帮助团队快速定位各阶段的校验重点和设计方向。
| 阶段 | 校验粒度 | 动态因子 | 典型阻断条件 | 权限回收方式 |
|---|---|---|---|---|
| Source | 提交者、分支、签名 | 用户组、分支策略 | 未签名提交、越权推送 | PR 合并后自动关闭 |
| Build | 依赖源、构建环境 | 依赖可信度、SBOM | 外部依赖、高危 CVE | 构建容器销毁时回收 |
| Test | 测试结果、合规标签 | 漏洞等级、合规要求 | SAST 高危、SCA 严重 | 测试报告归档后释放 |
| Deploy | 环境、变更单、令牌 | 环境等级、审批状态 | 缺少审批、超时窗口 | 部署完成立即回收令牌 |
| Post-Deploy | 运行时行为、审计日志 | 异常检测、合规报告 | 越权调用、异常时段 | TTL 到期自动回收 |