安全架构：认证鉴权与零信任

第 6 章 · 安全架构：认证鉴权与零信任

本章讲解企业级 安全纵深防御：身份认证、授权模型、网络隔离、密钥管理、常见漏洞防护与审计合规。

前置：PaaS Keycloak（ch14）；网关 ch12；架构第 1 章 NFR 安全项。

6.1 安全纵深防御

互联网
  │
  ▼
┌─────────────┐   ┌─────────────┐   ┌─────────────┐   ┌─────────────┐
│ WAF / DDoS  │──►│ 网关鉴权    │──►│ 服务间认证  │──►│ 数据加密    │
│ 边缘过滤    │   │ JWT/OAuth   │   │ mTLS / SA   │   │ 传输+静态   │
└─────────────┘   └─────────────┘   └─────────────┘   └─────────────┘
       │                 │                 │                 │
       └─────────────────┴─────────────────┴─────────────────┘
                         审计日志（谁、何时、何种操作）

零信任原则：不信任内网位置；每次访问验证 身份 + 设备/上下文 + 策略。

6.2 认证（Authentication）

6.2.1 JWT 实践

// Access Token Payload（示例）
{
  "sub": "U10086",
  "iss": "https://auth.xiaozi.local",
  "aud": "order-api",
  "exp": 1734480000,
  "roles": ["user"],
  "scope": "orders:read orders:write"
}

# APISIX jwt-auth 消费者（概念）
consumers:
  - username: order-api
    plugins:
      jwt-auth:
        key: order-api-key
        secret: "${JWT_SECRET}"   # 来自 Secret，非明文

行业案例 · 某社交平台：JWT 放 localStorage + 过期 30 天，XSS 后 批量账号接管。整改：HttpOnly Cookie + 15min access + 同源 CSP。

6.3 鉴权（Authorization）

请求 ──► 网关：验证 JWT 有效 + scope 粗筛
      ──► 服务：校验 resource.ownerId == jwt.sub
      ──► DB：WHERE user_id = ? 参数绑定

def get_order(order_id, current_user):
    order = repo.find(order_id)
    if not order:
        raise NotFound()
    if order.user_id != current_user.id and not current_user.is_admin:
        raise Forbidden()  # 403，非 404（避免枚举）
    return order

6.4 网络与零信任（K8s）

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: order-api-ingress
  namespace: app
spec:
  podSelector:
    matchLabels:
      app: order-api
  policyTypes: [Ingress, Egress]
  ingress:
    - from:
        - namespaceSelector:
            matchLabels:
              name: app
        - podSelector:
            matchLabels:
              app: apisix
      ports:
        - protocol: TCP
          port: 8080
  egress:
    - to:
        - namespaceSelector:
            matchLabels:
              name: data
      ports:
        - protocol: TCP
          port: 3306
    - to:
        - namespaceSelector:
            matchLabels:
              name: middleware
      ports:
        - protocol: TCP
          port: 6379

量化：生产 Namespace 100% 应有 NetworkPolicy（至少默认拒绝 + 白名单）。

6.5 密钥与合规