云安全运营中心：产品、数据、权限三重闭环防护

　　跟产品吵。去年十月，灰度开关没推完，我正蹲在监控大屏前盯那个标红的接口链路，PM冲进来问“闭环权限收敛算不算进Q2 OKR”，我手一抖把咖啡泼在键盘上——杯子上印的logo歪了三十度，擦都擦不掉。

　　我原以为三重闭环是调度层的事，结果发现连数据落库的字段映射表都是前端自己写死的。测试提的case里有一条“跨租户权限缓存穿透场景”，我们跑了十七轮才确认不是DBA配错了Redis集群的proxy路由策略，而是PM把RBAC的scope字段硬塞进JWT的aud里，还美其名曰“减少一次查库”。这个我敢打包票，因为我在凌晨两点三点四点分别抓了三次token payload——aud里混着tenant_id、role_id、甚至还有个base64编码的“prod_env_only”，解出来是“不要在预发环境点那个红色按钮”。

　　oncall手机震了一下，不是告警，是测试发来的截图：用户点击“导出全部资产”后弹窗显示“权限不足”，但后台日志里那行SQL执行成功了三百七十二次调用。我们仨——我、测试、前端——蹲在茶水间对日志，前端突然说“我改过导出按钮的disabled状态逻辑”，说完就去倒了杯水，水龙头开了八秒，水流声太大，我没听清他后半句是不是说了“用了localStorage缓存”。

　　优胜劣汰不是说它多优雅，是它逼你把脏活筛得特别狠。比如上周那个“产品侧权限配置界面”上线，前端把ACL编辑器封装成独立组件，但每次提交都触发整个运营中心的全量权限重计算——不是增量diff，是清空再build。上线前夜，我们发现CI流水线里有个没人动过的“权限校验跳过”开关，在configmap里注释掉的那行yaml底下，悄悄开着。我说“关了吧”，DBA抬头看了我一眼，“上个月你关的，上上个月也是你”。我记不清了，这个我说不准。

　　监控大屏上那个无关曲线抖了一下，是K8s node的disk_read_iops，和安全没关系，但它抖的时候我正好在翻权限服务的gRPC超时日志。十七毫秒的响应时间打点，上游等不了，直接走降级返回false。而false意味着“不能看”，而不是“先等一等”。所以用户刷新三次页面，第三次看到数据——不是缓存回来了，是权限服务恰好在第三次请求时没被压垮。这不是设计，是运气。但运气能持续多久？我不知道。去年十月那个版本，我们靠手写一个Python脚本扫了三百二十六个微服务的OpenAPI spec，就为了找出哪些接口漏写了scope标注。脚本跑完，我把结果发群里，PM回了个“收到”，测试回了个“+1”，没人说要不要加到CI里。后来那个脚本在我本地机器上跑着，每周自动推送邮件，收件人是我自己。

文章配图，仅供参考

　　碎得厉害。有一次发版，先改产品控制台的权限模型UI，再同步更新网关层的路由策略匹配逻辑，最后才是数据面鉴权服务的白名单兜底——这三步拆开走，中间隔了三天，期间运维误操作把测试环境的etcd快照恢复到了九月十七号的状态。结果那天所有新权限申请都走了老规则，老规则允许子租户继承父租户的审计日志查看权，而新规则禁止。没人报障，因为审计日志本来就没人看。但那天凌晨三点，我看见DBA在Slack里打字：“刚收到个告警，说是审计日志表里插入了两万条重复的record_id，主键冲突……查了下是权限服务发过来的，同一个session连续调了六百次INSERT IGNORE”。他没说下去。我也没回。因为我知道，INSERT IGNORE 是我去年八月加的，当时为防重试风暴临时写的，没写注释，只在git commit里写了“fix timeout retry”。

　　工资单上周发了，绩效系数1.05，比隔壁SRE组低零点零二。我不计较这个，但我计较为什么每次“权限闭环”的需求评审会，PM永远带着一页PPT讲ROI，而我拿张纸画三个圈——产品、数据、权限——然后被要求“把闭环的可视化路径也加进去”。可视化路径？我画的是拓扑图还是微信聊天记录树？有次我在白板上画完三个圈，用箭头连起来，PM说“这个箭头不够闭环”，我就拿马克笔把箭头尾巴接到开头，成了个椭圆。他满意地拍照，说“这个好，放汇报材料里”。

　　我早该明白的：优胜劣汰根本不是靠机制，是靠谁先扛不住。去年十月上线后第三周，有两个外包同学主动转岗去了数仓团队，理由是“不想天天对权限变更工单”。上周五，测试跟我说她准备辞职了，原因是“每次测完权限功能，都要重装一遍公司邮箱客户端，否则token状态错乱”。我没拦她。我只是顺手把那个Python脚本的crontab从每周改成了每天，加了行日志：“2024-10-22 03:17:08 —— 检测到/iam/v2/roles/inheritance接口未声明scope字段”。脚本还活着，只要它比我先挂，我就还能多撑一阵。

　　现在我在等下个版本的PRD——听说这次要接入LLM做权限策略推荐。我不信它能分清“审计员”和“合规官”的scope差异，但我要把脚本里的字段校验逻辑改成正则匹配。至少先让它能认出“audit”和“compliance”不在同一个正则组里。别的，我不管了。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!