1. 课程导论与背景：分布式事务压测场景库安全权限设计的必要性
1.1 为什么需要安全权限设计？——从一次压测事故说起
在一次大型电商系统的全链路压测中，测试团队直接使用了生产环境的分布式事务压测脚本。由于脚本中硬编码了数据库连接串与管理员令牌，压测执行期间被未授权人员窃取，导致生产订单表被恶意回滚，造成数小时服务中断。事后复盘发现：压测场景库缺乏最基本的权限隔离与访问控制。
这个案例揭示了分布式事务压测场景库面临的三个核心风险：
- 凭证泄露风险：压测脚本常包含数据库连接、消息队列密钥、服务间认证令牌，一旦泄露可直接威胁生产环境。
- 场景篡改风险：未授权的修改可能导致压测参数偏离预期，引发错误的事务补偿逻辑，甚至破坏测试数据一致性。
- 权限扩散风险：缺乏细粒度权限控制时，一个低权限测试人员可能获取到高敏感度的压测场景（如涉及支付、风控的分布式事务链路）。
核心观点：分布式事务压测场景库的安全权限设计，不是“锦上添花”的可选功能，而是保障压测结果可信、测试环境安全、生产数据不被污染的刚性需求。
1.2 课程目标与受众
| 维度 | 具体说明 |
|---|---|
| 课程目标 | 掌握在集成测试环境下，为分布式事务压测场景库设计一套完整的安全权限体系，包括：身份认证、角色授权、场景级访问控制、审计日志、密钥管理、安全压测执行策略。 |
| 核心受众 | 软件架构师（负责整体安全架构决策）、测试架构师/测试开发（负责压测平台设计与实现）、安全工程师（负责权限模型与审计方案评审）。 |
| 前置知识 | 了解分布式事务基本理论（TCC、Saga、2PC）、熟悉集成测试流程、具备基础的RBAC/ABAC权限模型认知。 |
| 学习收益 | 输出可直接落地的场景库权限设计文档、压测脚本安全规范、审计与密钥管理方案，降低压测安全风险80%以上。 |
1.3 整体知识图谱
本课程将围绕“场景库安全权限设计”这一主线，拆解为六个核心知识域。下图展示了各模块之间的依赖与协作关系：
1.4 课程知识域详解
六个知识域并非孤立存在，而是遵循“认证 → 授权 → 控制 → 审计 → 管理 → 执行”的安全链路。下表梳理了每个知识域的核心问题与交付物：
| 知识域 | 核心问题 | 关键交付物 |
|---|---|---|
| ① 身份认证与SSO集成 | 谁可以访问场景库？如何防止未授权登录？ | OAuth2/OIDC集成方案、多因素认证策略 |
| ② 角色与权限模型 | 不同角色（管理员/测试员/观察者）能做什么？ | RBAC+ABAC混合模型、权限矩阵表 |
| ③ 场景级访问控制 | 如何控制对单个压测场景的读/写/执行权限？ | 场景ACL设计、标签与继承策略 |
| ④ 审计与可追溯性 | 谁在什么时间对场景做了什么操作？ | 审计日志Schema、不可篡改存储方案 |
| ⑤ 密钥与凭证管理 | 压测脚本中的数据库密码、令牌如何安全存储？ | 密钥轮换策略、动态凭据注入方案 |
| ⑥ 安全压测执行策略 | 如何确保压测执行过程不污染生产或泄露数据？ | 沙箱执行环境、数据脱敏规则、熔断机制 |
1.5 课程设计原则
- 最小权限原则：每个角色、每个场景只授予完成压测任务所需的最小权限集。
- 默认拒绝原则：未明确授权的操作一律拒绝，避免权限误配导致的安全缺口。
- 可审计原则：所有权限变更、场景访问、压测执行均记录完整审计日志，支持事后追溯。
- 动态安全原则：密钥、令牌、权限策略支持运行时动态更新，无需重启压测平台。