1. 课程导论：Backend Security 性能调优与尾延迟压测的整体框架

1.1 课程定位与核心矛盾

后端安全与性能之间长期存在“跷跷板效应”：加密、鉴权、WAF 规则、输入校验等安全措施会引入额外 CPU 开销、内存分配和 I/O 等待，直接推高响应延迟；而激进地裁剪安全逻辑又可能埋下漏洞。本课程的核心目标是在不降低安全水位的前提下，通过系统化的性能调优与尾延迟压测，将安全组件的性能损耗控制在可接受范围内。

1.2 整体框架：四层递进结构

课程按“诊断→调优→压测→加固”四个阶段组织，覆盖从单点安全组件到全链路安全架构的完整闭环：

1.3 学习目标

完成本课程后，学员应具备以下能力：

• 性能诊断能力： 使用 async-profiler、perf、eBPF 等工具定位安全组件的 CPU 热点与锁竞争。
• 调优实战能力： 针对 TLS 握手、JWT 验签、SQL 注入过滤、RBAC 鉴权等场景，给出可落地的性能优化方案。
• 尾延迟压测能力： 设计符合安全场景的压测模型（含恶意流量、慢速攻击、突发请求），准确测量 P99/P999 延迟。
• 架构设计能力： 在微服务网关、API 网关、服务网格中构建安全与性能平衡的架构。

1.4 前置知识要求

学员需具备以下基础，课程不再展开讲解：

1.5 安全性能调优全景图

下图展示了后端安全组件在请求链路中的位置，以及各环节可能出现的性能瓶颈：

1.6 尾延迟：被平均掩盖的真相

传统压测关注平均延迟（Avg Latency）和吞吐量（QPS），但在安全场景中，尾延迟（Tail Latency）才是用户体验和安全防护效果的关键指标。一次慢速 SQL 注入检测或一次超时的 JWT 验签，可能只发生在 1% 的请求中，却会导致整个链路的连锁超时。

本课程将重点讲解如何通过延迟分布直方图和HDR Histogram来精确捕捉安全组件的尾延迟特征，而非依赖平均值。

1.7 课程实验环境与工具链

课程所有实验均基于以下环境，学员可自行搭建或使用提供的 Docker Compose 一键部署：

1.8 课程章节速览

为帮助学员建立全局认知，以下列出全部 30 章的模块划分：

1.9 一个典型的尾延迟压测流程

在进入后续章节之前，先通过一个简化的流程了解尾延迟压测的完整步骤：

1. 确定安全场景： 选择要压测的安全组件（如 JWT 验签、WAF 规则匹配）。
2. 构造流量模型： 混合正常请求与恶意请求（如 SQL 注入 payload），比例按 9:1 或 8:2。
3. 预热与基线： 先运行 30 秒预热，记录基线延迟分布。
4. 正式压测： 持续 5-10 分钟，采集 P50/P90/P99/P999 延迟。
5. 分析尾延迟拐点： 使用 HDR Histogram 或 Grafana 热图定位延迟突增区间。
6. 调优与复测： 针对热点优化后，重复步骤 3-5，验证改进效果。

1.10 课程约定与符号说明

为保持课程内容的一致性，以下符号和术语将在全课程中使用：