43 出门在外注意安全

以最小攻击面、及时补丁、最小权限和输入边界构成持续安全工程，而非上线前一次扫描。

学习目标

能为一个入口列出资产、威胁、攻击面、权限、输入边界和补丁责任
能用最小权限、显式拒绝和安全回归验证防护，而不是只依赖一次扫描
能在漏洞、过期依赖或恶意输入出现时保存首个差异、修复证据和回退路径

安全是持续的边界工程

本页依据 David Thomas、Andrew Hunt《程序员修炼之道：通向务实的最高境界（第2版）》，云风译，电子工业出版社，2020 年 4 月，ISBN 9787121384356 的公开中文目录，独立重构 43 出门在外注意安全。正文、代码、图示、实验和练习都是本课程重新设计的教学材料，不复制原书正文、插图或答案。

“出门在外”意味着系统会面对不熟悉的输入、过期的依赖、被盗的凭据和意外的权限组合。安全不是上线前打开一个扫描器，然后把报告归档；它是持续缩小攻击面、及时修补、限制能力、拒绝不可信输入、监测异常并能恢复的工程回路。每一项防护都要说明保护什么、拒绝什么、谁负责和如何验证。

三个会制造安全假象的陷阱

从资产到监测的安全回路

<Term def="需要保护的用户数据、凭据、业务状态、服务能力或审计事实。">资产</Term>是安全分析的起点。先列出资产和可接受损失，再检查谁可以读取、改变、删除或让它不可用。没有资产边界，攻击面清单容易变成与风险无关的端口列表。

<Term def="未经授权的主体、输入、依赖或操作可能利用边界造成的伤害。">威胁</Term>需要与具体入口和结果相连。不要只写“黑客攻击”，而要写“普通用户可改变另一个用户的导出范围”“过期依赖可被构造输入触发”“日志读取者可看到凭据”。

安全回路包含五步：

资产：标出数据、能力、身份和恢复目标；
威胁：写主体、入口、前提、影响和拒绝条件；
攻击面：删除不必要入口、字段、依赖和权限；
防护：验证身份、权限、输入、补丁和秘密处理；
监测：记录安全决定、异常事件、责任人和回退证据。

专属图示：安全决定连接资产、权限、输入、补丁和恢复，而不是一次扫描。

43 与提示 72、73：简洁与补丁都是安全能力

本单元对应中文目录的 43 出门在外注意安全、提示 72：保持代码简洁，让攻击面最小 和 提示 73：尽早打上安全补丁。简洁不是审美要求，而是减少入口、分支、依赖和必须审查的权限组合；补丁也不是一次性的“升级依赖”，而是从发现到验证、发布和回退的责任链。

<Term def="攻击者或错误输入可以触达的入口、能力、数据字段、依赖和权限组合总量。">攻击面</Term>可以从四个动作缩小：删除不使用的接口，拒绝不需要的字段，限制服务身份能力，减少外部依赖与公开错误细节。每个删除动作都要确认没有把风险转移到另一个入口。

<Term def="只授予主体完成当前动作所需的最小资源、范围和时间权限，并在边界重新检查。">最小权限</Term>不是把所有调用者都设成只读。它要绑定主体、资源和动作：普通用户可以读取自己的订单，管理员可以导出被授权范围，后台任务只拥有当前队列和时间窗口所需能力。

type ExportRequest = {
  actorId: string;
  accountId: string;
  format: "csv" | "json";
};
 
function canExport(
  actor: { accountIds: ReadonlySet<string>; exportEnabled: boolean },
  request: ExportRequest,
) {
  return actor.exportEnabled && actor.accountIds.has(request.accountId);
}

这个检查仍不能替代身份认证、输入校验和审计，但它把资源范围写进授权决定。拒绝应发生在导出副作用之前，并留下不泄露敏感数据的事件记录。

<Term def="从漏洞公开或被发现到修复、验证、发布和回退完成的可量化责任时间段。">补丁窗口</Term>应包含版本范围、责任人、验证环境、部署顺序和截止时间。越早修补越能减少暴露，但快速升级也要有兼容测试和回退策略；安全与可用性不是用一个绿色数字互相抵消。

输入边界与安全回归

<Term def="不可信数据进入系统时，对形状、大小、编码、范围、权限和速率作出明确决定的边界。">输入验证</Term>应靠近信任边界。验证后仍要使用安全的参数化操作、输出编码和权限检查，因为数据在内部流转时可能被重新组合。拒绝原因对调用者足够明确，对攻击者不应泄露内部结构。

<Term def="在修复后重放恶意输入、越权动作、过期依赖和异常恢复场景的可持续测试集合。">安全回归</Term>把一次修复变成长期证据。每个反例要保存输入摘要、期望拒绝、实际决定、修复版本和回退结果；不要保存明文秘密。生产事件也应在脱敏后进入回归。

练习实验：为一个入口闭合安全证据

Interactive lab

选择安全样本，检查拒绝与恢复

越权边界

输入证据

普通用户请求他人资源，入口收到过期或越权凭据。

实际首差

权限节点：在敏感副作用前明确拒绝。

恢复动作

加入安全回归，确认日志没有秘密。

先写资产与拒绝条件，再选择样本；安全通过不等于所有风险消失，仍要验证监测与回退。

分步1 / 4

1. 画资产与威胁边界

选择导出、上传或管理员动作，写出资产、主体、入口、可造成的影响和必须拒绝的条件。不要只写“防攻击”，要能判断某条请求是否越权。

正常、边界与单一故障证据

专属图示：安全证据同时覆盖合法路径、拒绝路径和补丁失效路径。

样本	唯一变化	预期判定	必存证据
正常	合法主体、资源和输入	动作成功且事件可审计	授权决定、版本和事件摘要
边界	越权、过期、超长或错编码输入	在副作用前明确拒绝	输入摘要、拒绝原因和状态快照
单一故障	一个补丁、权限或监测依赖失效	首个安全差异暴露并回退	失败反例、修复版本和回退

安全验证必须在接近真实部署的环境运行。扫描器、单元测试和代码审查各自覆盖一部分风险，不能互相冒充；最终证据要连接入口、资产、决定、日志和恢复。

术语表

名词解释

本章出现的专业名词，用大白话再讲一遍。

资产: 需要保护的数据、凭据、业务状态、服务能力或审计事实。
威胁: 主体或输入利用入口边界造成具体伤害的可能路径。
攻击面: 可被触达的入口、能力、字段、依赖和权限组合。
最小权限: 主体完成当前动作所需的最小资源、范围和时间权限。
补丁窗口: 从发现风险到修复、验证、发布和回退完成的责任时间段。

练习

问题 1： 一个导出接口只检查用户是否登录，没有检查账户归属。请列出修复后的安全回归样本。

问题 2： 依赖扫描发现高风险版本，但升级可能改变协议。如何定义补丁窗口？

问题 3： 日志团队想记录完整请求以便追查安全事件，你会如何回应？

本单元回顾

安全不是上线前一次扫描，而是围绕资产和威胁持续缩小攻击面、限制权限、及时补丁、验证输入、监测决定并准备回退。能用脱敏反例证明拒绝发生在副作用之前，也能说明修复、责任和恢复路径，才算把提示变成可维护的安全工程。